PiezÄ«me:: Ja jÅ«s uztraucaties par droŔību infrastruktÅ«rÄ, kas balstÄ«ta uz Kubernetes, Å”is lieliskais pÄrskats no Sysdig var bÅ«t lieliska sÄkumpunkts Ätrai iepazÄ«Å”anai ar mÅ«sdienÄs aktuÄlajiem risinÄjumiem. TajÄ iekļautas gan visaptveroÅ”as sistÄmas no zinÄmiem tirgus dalÄ«bniekiem, gan daudz skromnÄkas utilÄ«tas, kas risina konkrÄtas problÄmas. Un mÄs, kÄ vienmÄr, bÅ«sim priecÄ«gi uzzinÄt par jÅ«su pieredzi, izmantojot Å”os rÄ«kus, un redzÄt saites uz citiem projektiem.
Programmatuurproduktiem Kubernetes droŔības nodroÅ”inÄÅ”anaiā¦ ir tik daudz, un katram ir savi mÄrÄ·i, izmantoÅ”anas jomas un licences.
TÄpÄc mÄs nolÄmÄm izveidot Å”o sarakstu un iekļaujÄm tajÄ gan atvÄrtos projektus, gan komerciÄlÄs platformas no dažÄdiem piegÄdÄtÄjiem. Ceram, ka tas palÄ«dzÄs jums izvÄlÄties tos, kas ir visinteresantÄkie un novirzÄ«s pareizajÄ virzienÄ atkarÄ«bÄ no konkrÄtajÄm prasÄ«bÄm Kubernetes droŔības nodroÅ”inÄÅ”anai.
Kategorijas
Lai atvieglotu navigÄciju sarakstÄ, rÄ«ki ir sadalÄ«ti galvenajÄs funkcijÄs un izmantoÅ”anas jomÄs. IzvÄrtÄs Å”Ädas sadaļas:
- Kubernetes attÄlu skenÄÅ”ana un statiskÄ analÄ«ze;
- ReÄllaika droŔība;
- Kubernetes tīkla droŔība;
- AttÄlu izplatÄ«Å”ana un slepeno datu pÄrvaldÄ«ba;
- Kubernetes droŔības audits;
- VisaptveroÅ”i komerciÄli produkti.
PÄriesim pie lietas:
Kubernetes attÄlu skenÄÅ”ana
Anchore
- MÄjaslapa:
- Licence: brÄ«va (Apache) un komerciÄlais piedÄvÄjums
Anchore pakotne analizÄ konteineru attÄlus un ļauj veikt droŔības pÄrbaudes, pamatojoties uz lietotÄja noteiktajÄm politikÄm.
Papildus parastajai konteineru attÄlu skenÄÅ”anai, lai identificÄtu zinÄmÄs ievainojamÄ«bas no CVE datu bÄzes, Anchore veic daudz papildu pÄrbaudes skenÄÅ”anas politikÄ: pÄrbauda Dockerfile, datu noplÅ«des, izmantoto programmatÅ«ras valodu paketes (npm, maven u.c.), programmatÅ«ras licences un daudz ko citu.
Clair
- MÄjaslapa: (tagad zem Red Hat uzraudzÄ«bas)
- Licence: brīva (Apache)
Clair bija viens no pirmajiem atvÄrtÄ koda projektiem attÄlu skenÄÅ”anai. Tas ir plaÅ”i pazÄ«stams kÄ droŔības skeneris, kas kalpo kÄ pamats Quay attÄlu reÄ£istram (tÄpat no CoreOS ā piez. tulk.)Clair spÄj vÄkts informÄciju par CVE no daudziem avotiem, tostarp specifisku Linux distribÅ«ciju ievainojamÄ«bu sarakstiem, kurus vada Debian, Red Hat vai Ubuntu droŔības komandas.
AtŔķirÄ«bÄ no Anchore, Clair galvenokÄrt nodarbojas ar ievainojamÄ«bu meklÄÅ”anu un datu salÄ«dzinÄÅ”anu ar CVE. TomÄr produkts piedÄvÄ lietotÄjiem dažas iespÄjas paplaÅ”inÄt funkcionalitÄti, izmantojot paplaÅ”inÄjumus.
Dagda
- MÄjaslapa:
- Licence: bezmaksas (Apache)
Dagda veic statisku analÄ«zi konteineru attÄliem attiecÄ«bÄ uz zinÄmajÄm ievainojamÄ«bÄm, trojaniem, vÄ«rusiem, ļaunprÄtÄ«gajÄm programmÄm un citÄm draudiem.
No citiem lÄ«dzÄ«giem rÄ«kiem Dagda izceļas ar divÄm ievÄrojamÄm iezÄ«mÄm:
- Tas lieliski integrÄjas ar , kalpojot ne tikai kÄ rÄ«ks konteineru attÄlu skenÄÅ”anai, bet arÄ« kÄ antivÄ«russ.
- Tas arÄ« nodroÅ”ina runtime aizsardzÄ«bu, reÄlajÄ laikÄ saÅemot notikumus no Docker demona un integrÄjoties ar Falco (skatÄ«t zemÄk) droŔības notikumu vÄkÅ”anai darbÄ«bas laikÄ konteinerÄ.
KubeXray
- MÄjaslapa:
- Licence: bezmaksas (Apache), bet prasa datus no JFrog Xray (komerciÄla produkta)
KubeXray āuzklausaā Kubernetes API servera notikumus un ar JFrog Xray metadatiem seko lÄ«dzi, lai tikai podāi, kas atbilst paÅ”reizÄjai politikai, tiktu izpildÄ«ti.
KubeXray ne tikai veic jauno vai atjauninÄto konteineru auditu izpildÄ«jumos (analogi ar admission controller Kubernetes), bet arÄ« dinamiski pÄrbauda darbÄ«bas laikÄ esoÅ”os konteinerus, lai tie atbilstu jaunajiem droŔības politikas noteikumiem, iznÄ«cinot resursus, kas atsaucas uz ievainojamajiem attÄliem.
Snyk
- MÄjaslapa:
- Licence: bezmaksas (Apache) un komerciÄlÄs versijas
Snyk ir neparasts ievainojamÄ«bu skeneris, jo tas Ä«paÅ”i vÄrÅ”as pie izstrÄdes procesa un tiek reklamÄts kÄ āneatÅemams risinÄjumsā izstrÄdÄtÄjiem.
Snyk tieÅ”i pieslÄdzas koda repozitorijiem, analizÄ projekta manifestu un pÄta iekļauto kodu kopÄ ar tieÅ”ajÄm un netieÅ”ajÄm atkarÄ«bÄm. Snyk atbalsta daudzus populÄrus programmÄÅ”anas valodas un spÄj atklÄt slÄptos licencÄÅ”anas riskus.
Trivy
- MÄjaslapa:
- Licence: bezmaksas (AGPL)
Trivy ā vienkÄrÅ”s, bet jaudÄ«gs droŔības skeneris konteineriem, ko viegli integrÄt CI/CD plÅ«smÄ. TÄ izcila iezÄ«me ir vienkÄrÅ”a uzstÄdÄ«Å”ana un lietoÅ”ana: lietotne sastÄv no viena binÄra faila un neprasa datu bÄzes vai papildu bibliotÄku instalÄÅ”anu.
Trivy vienkÄrŔības otra puse ir tÄ, ka bÅ«s jÄapgÅ«st, kÄ parsÄt un nosÅ«tÄ«t rezultÄtus JSON formÄtÄ, lai tos varÄtu izmantot citi Kubernetes droŔības rÄ«ki.
Runtime droŔība Kubernetes
Falco
- MÄjaslapa:
- Licence: brīva (Apache)
Falco ā rÄ«ku kopums, lai nodroÅ”inÄtu droŔību mÄkoÅu izpildes vidÄs. Tas ietilpst projektu Ä£imenÄ .
Izmantojot Sysdig rÄ«kus, kas darbojas Linux kodolÄ un profiliizes sistÄmas izsaukumus, Falco ļauj dziļi iedziļinÄties sistÄmas uzvedÄ«bÄ. TÄs runtime noteikumu mehÄnisms var atklÄt aizdomÄ«gas aktivitÄtes lietojumprogrammu, konteineru, pamatviesu un Kubernetes orÄ·estratora vidÅ«.
Falco nodroÅ”ina pilnÄ«gu caurredzamÄ«bu runtime darbÄ«bÄ un apdraudÄjumu atklÄÅ”anu, uzstÄdot speciÄlus aÄ£entus Kubernetes mezglos. TÄ rezultÄtÄ nav jÄmodificÄ konteineri, iekļaujot tajos treÅ”o puÅ”u kodu vai pievienojot sidecar konteinerus.
Linux droŔības ietvari runtime
Å ie Linux kodolÄ iebÅ«vÄtie ietvari nav āKubernetes droŔības rÄ«kiā tradicionÄlajÄ izpratnÄ, tomÄr ir pelnÄ«juÅ”i pieminÄÅ”anu, jo ir svarÄ«gs elements droŔības jomÄ runtime, kas iekļaujas Kubernetes Pod Security Policy (PSP).
Pievieno droŔības profilu procesiem, kas darbojas konteinerÄ, nosakot failu sistÄmas privilÄÄ£ijas, tÄ«kla piekļuves noteikumus, bibliotÄku pieslÄgÅ”anu utt. Tas ir sistÄma, kas balstÄ«ta uz obligÄto piekļuves kontroli (Mandatory Access Control, MAC). Citiem vÄrdiem sakot, tÄ novÄrÅ” aizliegto darbÄ«bu izpildi.
Security-Enhanced Linux () ā tas ir droŔības paplaÅ”inÄjuma modulis Linux kodolÄ, kas daži aspekti ir lÄ«dzÄ«gi AppArmor un bieži tiek salÄ«dzinÄts ar to. SELinux pÄrspÄj AppArmor pÄc jaudas, elastÄ«bas un precizitÄtes nastatÄ. TÄ trÅ«kumi ir ilga apgÅ«Å”ana un paaugstinÄta sarežģītÄ«ba.
Un seccomp-bpf ļauj filtrÄt sistÄmas izsaukumus, bloÄ·Ät izpildi tiem, kas potenciÄli ir bÄ«stami pamatoperÄtÄjsistÄmai un nav nepiecieÅ”ami normÄlai lietotÄja lietojumprogrammu darbÄ«bai. Seccomp dažÄs jomÄs ir lÄ«dzÄ«gs Falco, tomÄr neizprot konteineru specifiku.
Sysdig atvÄrta koda
- MÄjaslapa:
- Licence: brīva (Apache)
Sysdig ir pilnvÄrtÄ«gs instruments Linux sistÄmu analÄ«zei, diagnostikai un kļūdu novÄrÅ”anai (tÄpat darbojas Windows un macOS, bet ar ierobežotÄm funkcijÄm). To var izmantot detaļu vÄkÅ”anai, pÄrbaudei un kriminÄlistikas izpÄtei (kriminÄlistika) pamatnostÄdÅu un visu uz tÄs balstÄ«to konteineru darbÄ«bai.
TurklÄt Sysdig sÄkotnÄji atbalsta izpildes vidÄjumus konteineriem un Kubernetes metadatus, pievienojot papildu dimensijas un marÄ·Äjumus visai savÄktajai informÄcijai par sistÄmas uzvedÄ«bu. Ir vairÄki veidi, kÄ analizÄt Kubernetes klasteri, izmantojot Sysdig: var veikt uzÅemÅ”anu noteiktÄ laikÄ, izmantojot vai arÄ« palaist interaktÄ«vo saskarni, pamatojoties uz ncurses, ar spraudÅa palÄ«dzÄ«bu .
Kubernetes tīkla droŔība
Aporeto
- MÄjaslapa:
- Licences: komerciÄla
Aporeto nodroÅ”ina "droŔību, atdalÄ«tu no tÄ«kla un infrastruktÅ«ras". Tas nozÄ«mÄ, ka Kubernetes pakalpojumi ne tikai saÅem vietÄjo ID (proti, ServiceAccount Kubernetes), bet arÄ« universÄlu identifikatoru/pÄdu, ko var izmantot droÅ”ai un savstarpÄjai verificÄÅ”anai ar citiem pakalpojumiem, piemÄram, OpenShift klasterÄ«.
Aporeto spÄj Ä£enerÄt unikÄlu identifikatoru ne tikai Kubernetes/konteineriem, bet arÄ« hostiem, mÄkoÅu funkcijÄm un lietotÄjiem. AtkarÄ«bÄ no Å”iem identifikatoriem un administratora noteiktajiem tÄ«kla droŔības noteikumiem, komunikÄcija tiks atļauta vai bloÄ·Äta.
Calico
- MÄjaslapa:
- Licence: brīva (Apache)
Calico parasti izveido laikÄ, kad tiek instalÄts konteineru orÄ·estrators, kas ļauj izveidot virtuÄlu tÄ«klu, kas savieno konteinerus. Papildus Å”ai pamata tÄ«kla funkcionalitÄtei projekts Calico darbojas ar Kubernetes tÄ«kla politiku un savu paÅ”a tÄ«kla droŔības profilu komplektu, atbalsta ACL (piekļuves kontroles sarakstus) punktiem un anotÄciju balstÄ«tus tÄ«kla droŔības noteikumus Ingress un Egress trafika.
Cilium
- MÄjaslapa:
- Licence: brīva (Apache)
Cilium darbojas kÄ ugunsmÅ«ris konteineriem un sniedz tÄ«kla droŔības iespÄjas, sÄkotnÄji pielÄgotas Kubernetes un mikroservisu slodzÄm. Cilium izmanto jaunu Linux kodola tehnoloÄ£iju, ko sauc par BPF (Berkeley Packet Filter), lai filtrÄtu, uzraudzÄ«tu, pÄrsÅ«tÄ«tu un koriÄ£Ätu datus.
Cilium var ieviest tÄ«kla piekļuves politikas, pamatojoties uz konteineru identifikatoriem, izmantojot Docker vai Kubernetes birkas un metadatus. Cilium arÄ« saprot un filtrÄ dažÄdus 7. lÄ«meÅa protokolus, piemÄram, HTTP vai gRPC, ļaujot noteikt, kuri REST izsaukumi, piemÄram, tiks atļauti starp diviem Kubernetes izvietojumiem.
Istio
- MÄjaslapa:
- Licence: brīva (Apache)
Istio ir plaÅ”i pazÄ«stams kÄ pakalpojumu sadalÄ«juma paradigmas Ä«stenojums, izvietojot platformai neatkarÄ«gu kontrolplÄnu un novirzot visu pÄrvaldÄ«to pakalpojumu satiksmi caur dinamiskÄ veidÄ konfigurÄjamiem Envoy proksijiem. Istio izmanto Å”o progresÄ«vo izpratni par visiem mikroservisiem un konteineriem, lai Ä«stenotu dažÄdas tÄ«kla droŔības stratÄÄ£ijas.
Istio tÄ«kla droŔības iespÄjas ietver caurspÄ«dÄ«gu TLS Å”ifrÄÅ”anu, automÄtiski uzlabojot komunikÄcijas protokolu starp mikroservisiem lÄ«dz HTTPS un savu RBAC sistÄmu identifikÄcijai un autorizÄcijai, lai atļautu/ierobežotu datu apmaiÅu starp dažÄdÄm slodzÄm klasterÄ«.
PiezÄ«me:: Lasiet vairÄk par Istio droŔībai vÄrstajÄm iespÄjÄm .
Tigera
- MÄjaslapa:
- Licences: komerciÄla
Å ajÄ risinÄjumÄ, ko sauc par "Kubernetes ugunsmÅ«ri", tiek uzsvÄrts tÄ«kla droŔības zero trust pieejas princips.
TÄpat kÄ citi Kubernetes dzimtie tÄ«kla risinÄjumi, Tigera paļaujas uz metadatiem, identificÄjot dažÄdus pakalpojumus un objektus klasterÄ«, un nodroÅ”ina problÄmu atklÄÅ”anu reÄllaikÄ, nepÄrtrauktu atbilstÄ«bas pÄrbaudi un tÄ«kla caurspÄ«dÄ«gumu daudzmÄkonÄ« vai hibrÄ«da monolÄ«ts-konteinerizÄtas infrastruktÅ«rÄ.
Trireme
- MÄjaslapa:
- Licence: brīva (Apache)
Trireme-Kubernetes ir vienkÄrÅ”a un saprotama Kubernetes tÄ«kla politiku specifikÄcijas Ä«stenoÅ”ana. AtzÄ«mÄjama iezÄ«me ir tÄ, ka, atŔķirÄ«bÄ no lÄ«dzÄ«giem Kubernetes tÄ«kla droŔības produktiem, tam nav nepiecieÅ”ama centrÄlÄ kontrolpunkts, lai koordinÄtu tÄ«klu (mesh). Tas padara risinÄjumu acÄ«mredzami mÄrogojamu. Trireme to sasniedz, uzstÄdot aÄ£entu katrÄ mezglÄ, kas tieÅ”i savienojas ar viesÄjo TCP/IP steku.
AttÄlu izplatÄ«Å”ana un slepeno pÄrvaldÄ«ba
Grafeas
- MÄjaslapa:
- Licence: brīva (Apache)
Grafeas ir atvÄrtÄ koda API programmatÅ«ras piegÄdes audita un pÄrvaldÄ«bas nodroÅ”inÄÅ”anai. Pamata lÄ«menÄ« Grafeas ir instruments metadatu un audita rezultÄtu vÄkÅ”anai. To var izmantot, lai izsekotu atbilstÄ«bu droŔības labÄkajÄm praksÄm organizÄcijÄ.
Å is centralizÄtais patiesÄ«bas avots palÄ«dz atbildÄt uz jautÄjumiem, piemÄram,
- Kas izstrÄdÄja un parakstÄ«ja konkrÄtu konteineru?
- Vai tas izturÄja visus droŔības skenerus un pÄrbaudes, kas noteiktas droŔības politikÄ? Kad? KÄdi bija rezultÄti?
- Kas to izvietoja ražoÅ”anÄ? KÄdi tieÅ”i parametri tika izmantoti izvietoÅ”anas procesÄ?
In-toto
- MÄjaslapa:
- Licence: brīva (Apache)
In-toto ir ietvars, kas izstrÄdÄts programmatÅ«ras piegÄdes Ä·Ädes integritÄtes, autentifikÄcijas un auditÄÅ”anas nodroÅ”inÄÅ”anai. Izvietojot In-toto infrastruktÅ«rÄ, vispirms tiek noteikts plÄns, kas apraksta dažÄdus posmus cauruļvadÄ (repozitorijs, CI/CD rÄ«ki, QA rÄ«ki, artefakta veidotÄji utt.) un lietotÄjus (atbildÄ«gÄs personas), kam ir atļauts tos iniciÄt.
In-toto kontrolÄ plÄna izpildi, pÄrbaudot, vai katra uzdevuma izpilde Ä·ÄdÄ tiek veikta tikai ar autorizÄtu personÄlu un vai procesa laikÄ ar produktu netika veikti nekÄdi nesankcionÄti manevri.
Portieris
- MÄjaslapa:
- Licence: brīva (Apache)
Portieris ir admission controller Kubernetes; tiek izmantots, lai piespiestu pÄrbaudÄ«t saturu uzticamÄ«bu. Portieris izmanto serveri (mÄs par to rakstÄ«jÄm beigÄs ā piez. tulk.) kÄ patiesÄ«bas avotu, lai apstiprinÄtu uzticamus un parakstÄ«tus artefaktus (t.i., apstiprinÄtus konteineru attÄlus).
Izveidojot vai mainot darba slodzi Kubernetes, Portieris ielÄdÄ paraksta informÄciju un satura ticamÄ«bas politiku pieprasÄ«tajiem konteineru attÄliem, un pÄc vajadzÄ«bas uz vietas veic izmaiÅas JSON objekta API, lai palaistu parakstÄ«tas Å”o attÄlu versijas.
Vault
- MÄjaslapa:
- Licenze: brīva (MPL)
Vault ir droÅ”a risinÄjums noslÄgtÄs informÄcijas glabÄÅ”anai: paroli, OAuth simbolu, PKI sertifikÄtu, piekļuves kontu, Kubernetes slepenÄ«bu utt. Vault atbalsta daudzas progresÄ«vas funkcijas, piemÄram, Ä«slaicÄ«gu droŔības simbolu nomu vai atslÄgu rotÄciju.
Ar Helm grafiku Vault var izvietot kÄ jaunu izvietojumu Kubernetes klasterÄ«, izmantojot Consul kÄ backend krÄtuvi. Tas atbalsta Kubernetes vietÄjos resursus, piemÄram, ServiceAccount simbolus, un pat var darboties kÄ noklusÄjuma Kubernetes slepenÄ«bu krÄtuve.
PiezÄ«me:: Starp citu, tieÅ”i vakar uzÅÄmums HashiCorp, kas izstrÄdÄ Vault, paziÅoja par dažiem uzlabojumiem Vault izmantoÅ”anai Kubernetes, Ä«paÅ”i tie attiecas uz Helm grafiku. SÄ«kÄku informÄciju lasiet .
Kubernetes droŔības audits
Kube-bench
- MÄjaslapa:
- Licence: brīva (Apache)
Kube-bench ir Go lietotne, kas pÄrbauda, vai Kubernetes ir droÅ”i izvietots, veicot testus no saraksta .
Kube-bench meklÄ nedroÅ”us konfigurÄcijas parametrus klastera komponentos (etcd, API, kontroliera vadÄ«tÄjs utt.), apÅ”aubÄmus piekļuves tiesÄ«bas uz failiem, neaizsargÄtus kontus vai atvÄrtas portus, resursu kvotas, API piekļuves ierobežojumu iestatÄ«jumus, lai pasargÄtu no DoS uzbrukumiem utt.
Kube-hunter
- MÄjaslapa:
- Licence: brīva (Apache)
Kube-hunter "medÄ«" potenciÄlÄs ievainojamÄ«bas (piemÄram, attÄlinÄtas koda izpildes vai datu noplÅ«des) Kubernetes klasteros. Kube-hunter var palaist kÄ attÄlu skeneri ā Å”ajÄ gadÄ«jumÄ tas novÄrtÄs klasteri no ļaunprÄtÄ«ga uzbrucÄja viedokļa ā vai kÄ pod iekÅ”Ä klasterÄ«.
IzcilÄ iezÄ«me Kube-hunter ir "aktÄ«vÄs medÄ«bas" režīms, kurÄ tas ne tikai ziÅo par problÄmÄm, bet arÄ« cenÅ”as izmantot ievainojamÄ«bas, kas konstatÄtas mÄrÄ·a klasterÄ«, un potenciÄli var traucÄt tÄ darbÄ«bu. TÄpÄc lietojiet uzmanÄ«gi!
Kubeaudit
- MÄjaslapa:
- Licenze: brīva (MIT)
Kubeaudit ir konsoles rÄ«ks, kas sÄkotnÄji izstrÄdÄts Shopify, lai auditojot Kubernetes konfigurÄciju atklÄtu dažÄdas droŔības problÄmas. PiemÄram, tas palÄ«dz identificÄt konteinerus, kas darbojas bez ierobežojumiem, ar superlietotÄja piekļuvi, kas ļaunprÄtÄ«gi izmanto privilÄÄ£ijas vai izmanto noklusÄjuma ServiceAccount.
Kubeaudit ir arÄ« citas interesantas iespÄjas. PiemÄram, tas spÄj analizÄt vietÄjos YAML failus, identificÄjot konfigurÄcijas trÅ«kumus, kas var novest pie droŔības problÄmÄm, un automÄtiski tos labot.
Kubesec
- MÄjaslapa:
- Licence: brīva (Apache)
Kubesec ir Ä«paÅ”s rÄ«ks, jo tieÅ”i skenÄ YAML failus, kuros aprakstÄ«ti Kubernetes resursi, meklÄjot vÄjÄs konfigurÄcijas, kas var ietekmÄt droŔību.
PiemÄram, tas var atklÄt liekas privilÄÄ£ijas un atļaujas, kas pieŔķirtas podam, palaidot konteineri ar root kÄ noklusÄjuma lietotÄju, pieslÄdzoties resursu tÄ«kla nosaukumam vai bÄ«stamajiem monta punktiem, piemÄram, /proc mÄjas vai Docker socket. VÄl viena interesanta Kubesec iespÄja ir tieÅ”saistÄ pieejamais demo pakalpojums, kurÄ var augÅ”upielÄdÄt YAML un nekavÄjoties veikt tÄ analÄ«zi.
Open Policy Agent
- MÄjaslapa:
- Licence: brīva (Apache)
OPA (Open Policy Agent) koncepcija ir atdalÄ«t droŔības politikas un labÄkÄs prakses no konkrÄtu laika izpildes platformÄm: Docker, Kubernetes, Mesosphere, OpenShift vai jebkura to kombinÄcija.
PiemÄram, OPA var izvietot kÄ bÄku Kubernetes admission controller, deleÄ£Äjot tam lÄmumus par droŔību. TÄdÄjÄdi OPA aÄ£ents varÄs pÄrbaudÄ«t, noraidÄ«t un pat mainÄ«t pieprasÄ«jumus reÄlajÄ laikÄ, nodroÅ”inot norÄdÄ«to droŔības parametru ievÄroÅ”anu. DroŔības politikas OPA ir rakstÄ«tas uz tÄs paÅ”a Rego DSL valodas.
PiezÄ«me:: PlaÅ”Äk par OPA (un SPIFFE) mÄs rakstÄ«jÄm .
IntegrÄti komerciÄli rÄ«ki Kubernetes droŔības analÄ«zei
MÄs nolÄmÄm izveidot atseviŔķu kategoriju komerciÄlÄm platformÄm, jo tÄs parasti aptver vairÄkas droŔības jomas. VispÄrÄju ieskatu to iespÄjÄs var iegÅ«t no tabulas:
* Progresīva ekspertīze un post mortem analīze ar pilnīgu .
Aqua Security
- MÄjaslapa:
- Licences: komerciÄla
Å is komerciÄlais rÄ«ks ir domÄts konteineriem un mÄkonÄ« balstÄ«tÄm darba slodzÄm. Tas nodroÅ”ina:
- AttÄlu skenÄÅ”ana, kas integrÄta ar konteineru reÄ£istru vai CI/CD caurplÅ«smu;
- Izpildes aizsardzÄ«ba, meklÄjot izmaiÅas konteineros un citu aizdomÄ«gu aktivitÄti;
- Dabas ugunsmūris konteineriem;
- DroŔība serverless risinÄjumiem mÄkoÅu pakalpojumos;
- AtbilstÄ«bas pÄrbaude un audits, apvienoti ar notikumu žurnÄlu.
PiezÄ«me:: VÄrts atzÄ«mÄt, ka pastÄv arÄ« bezmaksas produkta sastÄvdaļa ar nosaukumu , kas ļauj skenÄt konteineru attÄlus pÄc ievainojamÄ«bÄm. SalÄ«dzinÄjums ar maksas versijÄm ir sniegts .
Capsule8
- MÄjaslapa:
- Licences: komerciÄla
Capsule8 integrÄjas infrastruktÅ«rÄ, uzstÄdot detektoru lokÄlÄ vai mÄkoÅu Kubernetes klasterÄ«. Å is detektors vÄca mitinÄÅ”anas un tÄ«kla telemetriju, salÄ«dzinot to ar dažÄdiem uzbrukuma veidiem.
Capsule8 komanda uzskata, ka viÅu uzdevums ir laikus atklÄt un novÄrst uzbrukumus, kas izmanto jaunus (0-day) ievainojamÄ«bas. Capsule8 spÄj augÅ”upielÄdÄt precizÄtus droŔības noteikumus tieÅ”i uz detektoriem kÄ atbildi uz nesen atklÄtiem apdraudÄjumiem un programmatÅ«ras ievainojamÄ«bÄm.
Cavirin
- MÄjaslapa:
- Licences: komerciÄla
Cavirin darbojas kÄ pretÄjÄ puse dažÄdÄm droŔības standartiem atbilstoÅ”Äm iestÄdÄm. Tas ne tikai spÄj skenÄt attÄlus, bet arÄ« integrÄties CI/CD caurplÅ«smÄ, bloÄ·Äjot standartiem neatbilstoÅ”us attÄlus pirms to nonÄkÅ”anas slÄgtajos reÄ£istros.
Cavirin droŔības pakete izmanto maŔīnmÄcÄ«Å”anos, lai novÄrtÄtu kiberdroŔības stÄvokli, piedÄvÄ ieteikumus droŔības uzlaboÅ”anai un standartiem atbilstÄ«bas paaugstinÄÅ”anai.
Google Cloud Security Command Center
- MÄjaslapa:
- Licences: komerciÄla
Cloud Security Command Center palÄ«dz droŔības komandÄm apkopot datus, identificÄt apdraudÄjumus un novÄrst tos pirms tiem nodara kaitÄjumu uzÅÄmumam.
KÄ redzams no nosaukuma, Google Cloud SCC ir centralizÄts kontroles panelis, kurÄ var integrÄt dažÄdus droŔības pÄrskatus, aktÄ«vu uzskaites mehÄnismus un treÅ”o puÅ”u droŔības sistÄmas, kÄ arÄ« pÄrvaldÄ«t tos no vienota, centralizÄta avota.
Interoperabls API, ko piedÄvÄ Google Cloud SCC, atvieglo droŔības notikumu integrÄciju no dažÄdiem avotiem, piemÄram, Sysdig Secure (konteineru droŔība cloud-native lietojumiem) vai Falco (Open Source izpildes droŔības sistÄma).
Layered Insight (Qualys)
- MÄjaslapa:
- Licences: komerciÄla
Layered Insight (tagad daļa no Qualys Inc) ir izstrÄdÄts, balstoties uz "iebÅ«vÄtas droŔības" koncepciju. PÄc sÄkotnÄjÄ attÄla skenÄÅ”anas, lai identificÄtu ievainojamÄ«bas, izmantojot statistiskÄs analÄ«zes metodes un CVE pÄrbaudes, Layered Insight to aizvieto ar instrumentÄtu attÄlu, kas ietver aÄ£entu kÄ binÄro failu.
Å is aÄ£ents ietver droŔības testus izpildes laikÄ, lai analizÄtu konteinera tÄ«kla trafiku, I/O plÅ«smas un lietojumprogrammas darbÄ«bu. TurklÄt tas var veikt papildu droŔības pÄrbaudes, ko nosaka infrastruktÅ«ras administratori vai DevOps komandas.
NeuVector
- MÄjaslapa:
- Licences: komerciÄla
NeuVector veic konteinera droŔības pÄrbaudi un nodroÅ”ina izpildes laika aizsardzÄ«bu, analizÄjot tÄ«kla aktivitÄti un lietojumprogrammas uzvedÄ«bu, izveidojot individuÄlu droŔības profilu katram konteineram. Tas arÄ« var automÄtiski bloÄ·Ät draudus, izolÄjot apÅ”aubÄmu aktivitÄti, mainot lokÄlÄ ugunsmÅ«ra noteikumus.
NeuVector tÄ«kla integrÄcija, kas pazÄ«stama kÄ Security Mesh, ir spÄjÄ«ga veikt dziļu pakotÅu analÄ«zi un filtrÄÅ”anu 7. lÄ«menÄ« visÄm tÄ«kla savienojumiem service mesh.
StackRox
- MÄjaslapa:
- Licences: komerciÄla
StackRox konteinera droŔības platforma cenÅ”as aptvert visu Kubernetes lietojumprogrammu dzÄ«ves ciklu klasterÄ«. TÄpat kÄ citas komerciÄlÄs platformas Å”ajÄ sarakstÄ, StackRox Ä£enerÄ izpildes laika profilu balstoties uz novÄrojamo konteinera uzvedÄ«bu un automÄtiski brÄ«dina par jebkÄdÄm novirzÄm.
TurklÄt StackRox analizÄ Kubernetes konfigurÄcijas, izmantojot CIS Kubernetes un citus noteikumu kopumus, lai novÄrtÄtu konteinera atbilstÄ«bu.
Sysdig Secure
- MÄjaslapa:
- Licences: komerciÄla
Sysdig Secure aizsargÄ lietojumprogrammas visÄ konteinera un Kubernetes dzÄ«ves ciklÄ. Tas konteineru, nodroÅ”ina balstoties uz maŔīnmÄcÄ«Å”anÄs datiem, veic kriminÄlistikas ekspertÄ«zi, lai identificÄtu ievainojamÄ«bas, bloÄ·Ä draudus, uzrauga un veic mikroservisu aktivitÄtes revÄ«ziju.
Sysdig Secure integrÄjas ar CI/CD rÄ«kiem, piemÄram, Jenkins, un uzrauga attÄlus, kas tiek ielÄdÄti no Docker reÄ£istra, novÄrÅ”ot bÄ«stamu attÄlu parÄdÄ«Å”anos ražoÅ”anÄ. Tas arÄ« nodroÅ”ina visaptveroÅ”u izpildes laika droŔību, tostarp:
- izpildes laika profilÄÅ”anu, balstoties uz ML, un anomÄliju atklÄÅ”anu;
- darbplÄna politikas, balstÄ«tas uz sistÄmas notikumiem, K8s-audit API, kopienas sadarbÄ«bas projektiem (FIM ā failu integritÄtes uzraudzÄ«ba; kriptovalÅ«tu zÄdzÄ«ba) un ietvaru ;
- incidentu reakcija un novÄrÅ”ana.
Tenable konteineru droŔība
- MÄjaslapa:
- Licences: komerciÄla
Pirms konteineru parÄdÄ«Å”anÄs Tenable bija plaÅ”i pazÄ«stama nozares kÄ uzÅÄmums, kas izstrÄdÄja Nessus ā populÄru rÄ«ku ievainojamÄ«bu meklÄÅ”anai un droŔības auditiem.
Tenable konteineru droŔība izmanto uzÅÄmuma pieredzi datoru droŔībÄ, lai integrÄtu CI/CD caurules ar ievainojamÄ«bu datubÄzÄm, specializÄtÄm ļaunprogrammatÅ«ras atklÄÅ”anas pakotnÄm un droŔības draudu novÄrÅ”anas ieteikumiem.
Twistlock (Palo Alto Networks)
- MÄjaslapa:
- Licences: komerciÄla
Twistlock sevi reklamÄ kÄ platformu, kas vÄrsta uz mÄkoÅservisiem un konteineriem. Twistlock atbalsta dažÄdus mÄkoÅpakalpojumu sniedzÄjus (AWS, Azure, GCP), konteineru orÄ·estratorus (Kubernetes, Mesosphere, OpenShift, Docker), bez-servera izpildes vidus, mezglu ietvarus un CI/CD rÄ«kus.
Papildus parastajiem korporatÄ«vÄs droŔības paÅÄmieniem, piemÄram, integrÄciju CI/CD caurulÄ vai attÄlu skenÄÅ”anai, Twistlock izmanto maŔīnmÄcÄ«Å”anos, lai Ä£enerÄtu uzvedÄ«bas paraugus un tÄ«kla noteikumus, kas Åem vÄrÄ konteineru Ä«patnÄ«bas.
Neilgi pÄc tam Twistlock iegÄdÄjÄs Palo Alto Networks, kuram pieder projekti Evident.io un RedLock. VÄl nav skaidrs, kÄ tieÅ”i Ŕīs trÄ«s platformas tiks integrÄtas no Palo Alto.
PalÄ«dzi izveidot labÄko Kubernetes droŔības rÄ«ku katalogu!
MÄs cenÅ”amies padarÄ«t Å”o katalogu pÄc iespÄjas pilnÄ«gÄku, un tam mums nepiecieÅ”ama jÅ«su palÄ«dzÄ«ba! Sazinieties ar mums (), ja jums ir kÄds forÅ”s rÄ«ks, ko vÄrts iekļaut Å”ajÄ sarakstÄ, vai esat atradis kļūdu/novecojuÅ”u informÄciju.
JÅ«s varat arÄ« pierakstÄ«ties mÅ«su ar jaunumiem cloud-native ekosistÄmÄ un stÄstiem par interesantiem projektiem no Kubernetes droŔības pasaules.
P.S. no tulka
Lasiet arÄ« mÅ«su emuÄra rakstos:
- Ā«Ā»;
- Ā«Ā»;
- Ā«Ā»;
- Ā«Ā»;
- Ā«Ā».
Avots: habr.com
Russian
Italian
German
Polish
Estonian
Albanian
Bulgarian
Croatian
Czech
Danish
Dutch
English
Finnish
French
Hungarian
Latvian
Lithuanian
Norwegian
Portuguese
Romanian
Slovak
Slovenian
Spanish
Swedish