\nOm de navigatie door de lijst te vergemakkelijken, zijn de tools ingedeeld op basis van hun belangrijkste functies en toepassingsgebieden. De volgende secties zijn ontstaan:<\/p>\n
\n Kubernetes-image-scanning en statische analyse;<\/li>\n Runtime-beveiliging;<\/li>\n Kubernetes-netwerkbeveiliging;<\/li>\n Beelddistributie en geheimenbeheer;<\/li>\n Kubernetes-beveiligingsaudit;<\/li>\n Uitgebreide commerci\u00eble producten.<\/li>\n<\/ul>\n\nLaten we aan de slag gaan:<\/p>\n
Kubernetes-image-scanning<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Website: anchore.com<\/a><\/noindex><\/li>\n Licentie: vrij (Apache) en commercieel aanbod<\/li>\n<\/ul>\n\n
Naast de gebruikelijke scanning van containerbeelden op bekende kwetsbaarheden uit de CVE-database, voert Anchore veel extra controles uit in het kader van het scanbeleid: controleert het Dockerfile, de uitlekkende referenties, de pakketten van gebruikte programmeertalen (npm, maven, enz.), softwarelicenties en nog veel meer.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Website: coreos.com\/clair<\/a><\/noindex> (nu onder de hoede van Red Hat)<\/i><\/li>\n Licentie: vrij (Apache)<\/li>\n<\/ul>\n\n(ook van CoreOS - opmerking van de vertaler.<\/b>)<\/i>Clair kan informatie over CVE verzamelen uit een groot aantal bronnen, waaronder lijsten met kwetsbaarheden die specifiek zijn voor Linux-distributies, beheerd door de beveiligingsteams van Debian, Red Hat of Ubuntu.<\/p>\n
In tegenstelling tot Anchore richt Clair zich voornamelijk op het opsporen van kwetsbaarheden en het afstemmen van gegevens op CVE. Het product biedt gebruikers echter enkele mogelijkheden voor uitbreiding via plug-ins.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Website: github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Licentie: vrij (Apache)<\/li>\n<\/ul>\n\n
Wat het Dagda-pakket onderscheidt van andere vergelijkbare tools zijn twee opmerkelijke kenmerken:<\/p>\n
\n Het integreert uitstekend met ClamAV<\/a><\/noindex>, en fungeert niet alleen als een tool voor het scannen van containerbeelden, maar ook als antivirus.<\/li>\n Het biedt ook runtime-bescherming, door in real-time events van de Docker-daemon te ontvangen en zich te integreren met Falco (zie hieronder)<\/i> voor het verzamelen van beveiligingsevents tijdens het draaien van de container.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Website: github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Licentie: vrij (Apache), maar vereist gegevens van JFrog Xray (een commercieel product)<\/li>\n<\/ul>\n\n
KubeXray voert niet alleen audits uit van nieuwe of bijgewerkte containers in deployments (vergelijkbaar met de admission controller in Kubernetes), maar controleert ook dynamisch draaiende containers op naleving van nieuwe beveiligingsbeleid, en verwijdert bronnen die verwijzen naar kwetsbare afbeeldingen.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Website: snyk.io<\/a><\/noindex><\/li>\n Licentie: vrij (Apache) en commerci\u00eble versies<\/li>\n<\/ul>\n\n
Snyk maakt rechtstreeks verbinding met code-repositories, parsed het projectmanifest en analyseert de ge\u00efmporteerde code samen met directe en indirecte afhankelijkheden. Snyk ondersteunt veel populaire programmeertalen en kan verborgen licentierisico's identificeren.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Website: github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Licentie: vrij (AGPL)<\/li>\n<\/ul>\n\n
De keerzijde van de eenvoud van Trivy is dat je moet leren hoe je de resultaten in JSON-formaat kunt parseren en doorsturen, zodat andere beveiligingstools voor Kubernetes er gebruik van kunnen maken.<\/p>\n
Runtime-beveiliging in Kubernetes<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Website: falco.org<\/a><\/noindex><\/li>\n Licentie: vrij (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nDoor gebruik te maken van de Sysdig-tools op kernel-niveau en het profileren van systeemaanroepen, stelt Falco je in staat om diep in het systeemgedrag door te dringen. De runtime-regels kunnen verdachte activiteiten in applicaties, containers, de onderliggende host en de Kubernetes-orchestrator detecteren.<\/p>\n
Falco zorgt voor volledige transparantie in de werking van runtime en bedreigingsdetectie door speciale agenten op de Kubernetes-nodes te plaatsen. Dit maakt het mogelijk om containers niet te modificeren door externe code en het toevoegen van sidecar-containers.<\/p>\n
Linux-beveiligingsframeworks voor runtime<\/h3>\n \n
AppArmor<\/a><\/noindex> verbindt een veiligheidsprofiel aan processen die in de container draaien, door de bestandsysteemrechten, netwerktoegangsregels, het koppelen van bibliotheken, enz. te defini\u00ebren. Dit is een systeem op basis van verplicht toegangsbeheer (Mandatory Access Control, MAC). Met andere woorden, het voorkomt dat verboden acties worden uitgevoerd.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) is een uitbreidingsmodule voor beveiliging in de Linux-kernel, die in sommige opzichten vergelijkbaar is met AppArmor en vaak met hem wordt vergeleken. SELinux overtreft AppArmor in kracht, flexibiliteit en precisie van de instellingen. De nadelen zijn de lange leercurve en verhoogde complexiteit.<\/p>\nSeccomp<\/a><\/noindex> en seccomp-bpf kunnen systeemoproepen filteren, de uitvoering van potentieel gevaarlijke systeemoproepen voor het basisbesturingssysteem blokkeren die niet nodig zijn voor de normale werking van gebruikersapplicaties. Seccomp lijkt op sommige punten op Falco, hoewel het niet bekend is met de specificaties van containers.<\/p>\nSysdig open source<\/h3>\n <\/p>\n
\n Website: www.sysdig.com\/opensource<\/a><\/noindex><\/li>\n Licentie: vrij (Apache)<\/li>\n<\/ul>\n\n(forensisch onderzoek)<\/i> van de basisinstallatie en alle containers die daarop draaien.<\/p>\n
Ook ondersteunt Sysdig oorspronkelijk uitvoerende omgevingen voor containers en Kubernetes-metadata, waardoor aanvullende metingen en labels aan alle verzamelde informatie over het systeemgedrag worden toegevoegd. Er zijn verschillende manieren om een Kubernetes-cluster te analyseren met Sysdig: je kunt een capture maken op een bepaald tijdstip via kubectl capture<\/a><\/noindex> of een interactieve interface op basis van ncurses starten met de plugin kubectl dig<\/a><\/noindex>.<\/p>\nNetwerkbeveiliging van Kubernetes<\/h2>\n <\/p>\n
Aporeto<\/h3>\n <\/p>\n
\n Website: www.aporeto.com<\/a><\/noindex><\/li>\n Licentie: commercieel<\/li>\n<\/ul>\n\n
Aporeto kan unieke identificaties genereren, niet alleen voor Kubernetes\/containers, maar ook voor hosts, cloudfuncties en gebruikers. Afhankelijk van deze identificaties en de set netwerkbeveiligingsregels die door de beheerder zijn opgegeven, worden communicatie toegestaan of geblokkeerd.<\/p>\n
, dat de standaard API-set van Kubernetes aanzienlijk uitbreidt op het gebied van netwerkinstellingen.<\/h3>\n <\/p>\n
\n Website: www.projectcalico.org<\/a><\/noindex><\/li>\n Licentie: vrij (Apache)<\/li>\n<\/ul>\n\n
Cilium<\/h3>\n <\/p>\n
\n Website: www.cilium.io<\/a><\/noindex><\/li>\n Licentie: vrij (Apache)<\/li>\n<\/ul>\n\n
Cilium is in staat om netwerktoegangsbeleid op basis van containeridentificatie uit te rollen, waarbij het labels van Docker of Kubernetes en metadata gebruikt. Cilium begrijpt en filtert ook verschillende protocollen van de 7e laag, zoals HTTP of gRPC, waardoor een set REST-aanroepen kan worden gedefinieerd die bijvoorbeeld tussen twee Kubernetes deployments zijn toegestaan.<\/p>\n
Istio<\/h3>\n <\/p>\n
\n Website: istio.io<\/a><\/noindex><\/li>\n Licentie: vrij (Apache)<\/li>\n<\/ul>\n\n
De mogelijkheden van Istio voor netwerkbeveiliging omvatten transparante TLS-encryptie om automatisch het communicatieprotocol tussen microservices te verbeteren tot HTTPS en een eigen RBAC-systeem voor identificatie en autorisatie om de gegevensuitwisseling tussen verschillende workloads in het cluster toe te staan of te blokkeren.<\/p>\n
Opmerking vertaler.<\/b>: Voor meer informatie over de beveiligingsgerichte mogelijkheden van Istio, lees dit artikel<\/a><\/noindex>.<\/i><\/p>\nTigera<\/h3>\n <\/p>\n
\n Website: www.tigera.io<\/a><\/noindex><\/li>\n Licentie: commercieel<\/li>\n<\/ul>\n\n
Net als andere native Kubernetes-netoplossingen vertrouwt Tigera op metadata voor het identificeren van verschillende services en objecten in het cluster en biedt het detectie van problemen tijdens runtime, voortdurende nalevingcontroles en netwerktransparantie voor multi-cloud of hybride monolithically-containerized infrastructuren.<\/p>\n
Trireme<\/h3>\n <\/p>\n
\nWebsite: www.aporeto.com\/opensource<\/a><\/noindex><\/li>\nLicentie: vrij (Apache)<\/li>\n<\/ul>\n\n
Verspreiding van afbeeldingen en beheersing van geheimen<\/h2>\n <\/p>\n
Grafeas<\/h3>\n <\/p>\n
\n Website: grafeas.io<\/a><\/noindex><\/li>\n Licentie: vrij (Apache)<\/li>\n<\/ul>\n\n
Deze gecentraliseerde bron van waarheid helpt om vragen te beantwoorden zoals:<\/p>\n
\n Wie heeft een specifieke container gebouwd en ondertekend?<\/li>\n Is deze door alle beveiligingsscanners en controles gegaan zoals voorgeschreven door het beveiligingsbeleid? Wanneer? Wat waren de resultaten? <\/li>\n Wie heeft deze in productie uitgerold? Welke parameters zijn juist gebruikt tijdens de uitrol?<\/li>\n<\/ul>\n<\/p>\n
In-toto<\/h3>\n <\/p>\n
\n Website: in-toto.github.io<\/a><\/noindex><\/li>\n Licentie: vrij (Apache)<\/li>\n<\/ul>\n\n
In-toto controleert de uitvoering van het plan door te verifi\u00ebren dat elke taak in de keten correct wordt uitgevoerd door uitsluitend bevoegd personeel en dat er tijdens de voortgang met het product geen ongeoorloofde manipulaties hebben plaatsgevonden.<\/p>\n
Portieris<\/h3>\n <\/p>\n
\n Website: github.com\/IBM\/portieris<\/a><\/noindex><\/li>\n Licentie: vrij (Apache)<\/li>\n<\/ul>\n\nNotary<\/a><\/noindex> (we hebben er aan het einde over geschreven dit artikel<\/a><\/noindex> \u2014 opmerking van de vertaler.<\/b>)<\/i> als de bron van waarheid voor het bevestigen van vertrouwde en ondertekende artefacten (d.w.z. goedgekeurde containerafbeeldingen).<\/p>\n Bij het aanmaken of wijzigen van een workloads in Kubernetes laadt Portieris informatie over de handtekening en het vertrouwensbeleid voor de gevraagde containerafbeeldingen en past indien nodig het JSON-object van de API in real-time aan om ondertekende versies van deze afbeeldingen te starten.<\/p>\n
Vault<\/h3>\n <\/p>\n
\n Website: www.vaultproject.io<\/a><\/noindex><\/li>\n Licentie: vrij (MPL)<\/li>\n<\/ul>\n\n
Met behulp van de Helm-chart kan Vault worden uitgerold als een nieuwe deployment in de Kubernetes-cluster met Consul als backend-opslag. Het ondersteunt native Kubernetes-resources zoals ServiceAccount-tokens en kan zelfs fungeren als standaard geheimenopslag voor Kubernetes.<\/p>\n
Opmerking vertaler.<\/b>: Trouwens, gister maakte HashiCorp, de ontwikkelaar van Vault, enkele verbeteringen bekend voor het gebruik van Vault in Kubernetes, vooral met betrekking tot de Helm-chart. Details zijn te vinden in de ontwikkelaarsblog<\/a><\/noindex>.<\/i><\/p>\nBeveiligingsaudit van Kubernetes<\/h2>\n <\/p>\n
Kube-bench<\/h3>\n <\/p>\n
\nWebsite: github.com\/aquasecurity\/kube-bench<\/a><\/noindex><\/li>\nLicentie: vrij (Apache)<\/li>\n<\/ul>\n\nCIS Kubernetes Benchmark<\/a><\/noindex>.<\/p>\nKube-bench zoekt naar onveilige configuratieparameters binnen de clustercomponenten (etcd, API, controller manager, enz.), verdachte bestandsrechten, onbeschermde accounts of open poorten, resourcequota's, instellingen voor API-verzoekbeperkingen ter bescherming tegen DoS-aanvallen, enz.<\/p>\n
Kube-hunter<\/h3>\n <\/p>\n
\n Website: github.com\/aquasecurity\/kube-hunter<\/a><\/noindex><\/li>\n Licentie: vrij (Apache)<\/li>\n<\/ul>\n\n
Een kenmerk van Kube-hunter is de modus \u201eactieve jacht\u201c, waarin het niet alleen meldingen doet van problemen, maar ook probeert gebruik te maken van kwetsbaarheden die in de doelcluster zijn ontdekt, wat potentieel schadelijk kan zijn voor de werking ervan. Dus gebruik het met voorzichtigheid!<\/p>\n
Kubeaudit<\/h3>\n <\/p>\n
\n Website: github.com\/Shopify\/kubeaudit<\/a><\/noindex><\/li>\n Licentie: vrij (MIT)<\/li>\n<\/ul>\n\n
Kubeaudit heeft ook andere interessante mogelijkheden. Zo kan het lokale YAML-bestanden analyseren, waarbij het tekortkomingen in de configuratie ontdekt die kunnen leiden tot beveiligingsproblemen en deze automatisch kan corrigeren.<\/p>\n
Kubesec<\/h3>\n <\/p>\n
\n Website: kubesec.io<\/a><\/noindex><\/li>\n Licentie: vrij (Apache)<\/li>\n<\/ul>\n\n
Bijvoorbeeld, het kan overmatige privileges en permissies detecteren die aan de pod zijn verleend, het starten van een container met root als standaardgebruiker, verbinding maken met de netwerknaamruimte van de host of gevaarlijke montages zoals \/proc<\/code> hosts of a Docker socket. Another interesting feature of Kubesec is the online demo service, where you can upload YAML and immediately analyze it.<\/p>\nOpen Policy Agent<\/h3>\n <\/p>\n
\n Website: www.openpolicyagent.org<\/a><\/noindex><\/li>\n Licentie: vrij (Apache)<\/li>\n<\/ul>\n\n
For example, you can deploy OPA as a backend for the Kubernetes admission controller, delegating security decisions to it. This way, the OPA agent can check, reject, and even modify requests on the fly, ensuring compliance with the defined security parameters. The security policies in OPA are written in its own DSL language, Rego.<\/p>\n
Opmerking vertaler.<\/b>: Meer over OPA (en SPIFFE) hebben we geschreven in dit artikel<\/a><\/noindex>.<\/i><\/p>\nComplexe commerci\u00eble tools voor beveiligingsanalyse van Kubernetes<\/h2>\n \nWe hebben besloten een aparte categorie te maken voor commerci\u00eble platforms, omdat deze doorgaans meerdere beveiligingsgebieden dekken. Een algemeen overzicht van hun mogelijkheden is te vinden in de tabel:<\/p>\n
* Geavanceerde expertise en post-mortem analyse met volledige vastlegging van systeemaanroepen<\/a><\/noindex>.<\/i><\/p>\nAqua Security<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")