\nFor \u00e5 forenkle navigasjonen i listen er verkt\u00f8yene delt opp etter hovedfunksjoner og bruksomr\u00e5der. Her er de f\u00f8lgende seksjonene:<\/p>\n
\n Skanning av Kubernetes-bilder og statisk analyse;<\/li>\n Runtime-sikkerhet;<\/li>\n Nettverkssikkerhet for Kubernetes;<\/li>\n Distribusjon av bilder og hemmelighetsadministrasjon;<\/li>\n Sikkerhetsrevisjon av Kubernetes;<\/li>\n Omfattende kommersielle produkter.<\/li>\n<\/ul>\n\nLa oss komme til saken:<\/p>\n
Skanning av Kubernetes-bilder<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Website: anchore.com<\/a><\/noindex><\/li>\n Lisens: gratis (Apache) og kommersielt tilbud<\/li>\n<\/ul>\n\n
I tillegg til vanlig skanning av containere for kjente s\u00e5rbarheter fra CVE-databasen, utf\u00f8rer Anchore flere tilleggsunders\u00f8kelser som del av skanepolitikken: det sjekker Dockerfile, lekkasje av legitimasjon, pakker i brukte programmeringsspr\u00e5k (npm, maven osv.), programvarelisenser og mye mer.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Website: coreos.com\/clair<\/a><\/noindex> (n\u00e5 under omsorg av Red Hat)<\/i><\/li>\n Lisens: gratis (Apache)<\/li>\n<\/ul>\n\n(ogs\u00e5 fra CoreOS \u2014 anmerkn. overs.<\/b>)<\/i>Clair kan samle informasjon om CVE fra en rekke kilder, inkludert lister over spesifikke s\u00e5rbarheter for Linux-distribusjoner som administreres av sikkerhetsteamene til Debian, Red Hat eller Ubuntu.<\/p>\n
I motsetning til Anchore fokuserer Clair hovedsakelig p\u00e5 \u00e5 oppdage s\u00e5rbarheter og matche data med CVE. Likevel tilbyr produktet brukerne noen muligheter for \u00e5 utvide funksjonaliteten ved hjelp av plug-in-drivere.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Website: github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Lisens: gratis (Apache)<\/li>\n<\/ul>\n\n
To bemerkelsesverdige egenskaper som skiller Dagda fra andre lignende verkt\u00f8y er:<\/p>\n
\n Den integreres godt med ClamAV<\/a><\/noindex>, og fungerer ikke bare som et verkt\u00f8y for skanning av containerbilder, men ogs\u00e5 som antivirus.<\/li>\n Den gir ogs\u00e5 runtime-beskyttelse ved \u00e5 motta hendelser i sanntid fra Docker-daemonet og integrere seg med Falco (se nedenfor)<\/i> for \u00e5 samle sikkerhetshendelser under kj\u00f8ring av containeren.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Website: github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Lisens: gratis (Apache), men krever innhenting av data fra JFrog Xray (et kommersielt produkt)<\/li>\n<\/ul>\n\n
KubeXray utf\u00f8rer ikke bare revisjon av nye eller oppdaterte containere i deployment’ene (p\u00e5 liknende m\u00e5te som admission controller i Kubernetes), men sjekker ogs\u00e5 dynamisk kj\u00f8rende containere for samsvar med nye sikkerhetspolicyer, og fjerner ressurser som refererer til s\u00e5rbare bilder.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Website: snyk.io<\/a><\/noindex><\/li>\n Lisens: gratis (Apache) og kommersielle versjoner<\/li>\n<\/ul>\n\n
Snyk kobler seg direkte til kode-repositorier, parser prosjektmanifestet og analyserer importert kode sammen med direkte og indirekte avhengigheter. Snyk st\u00f8tter mange popul\u00e6re programmeringsspr\u00e5k og kan avdekke skjulte lisensrisikoer.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Website: github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Lisens: gratis (AGPL)<\/li>\n<\/ul>\n\n
Den negative siden ved Trivys enkelhet er at man m\u00e5 l\u00e6re seg hvordan man parserer og sender resultater i JSON-format slik at andre Kubernetes-sikkerhetsverkt\u00f8y kan benytte seg av dem.<\/p>\n
Runtime-sikkerhet i Kubernetes<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Website: falco.org<\/a><\/noindex><\/li>\n Lisens: gratis (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nVed \u00e5 bruke Sysdig-verkt\u00f8y til \u00e5 jobbe p\u00e5 Linux-kjerneniv\u00e5 og profilere systemkall, lar Falco deg dykke dypt ned i systematferd. Dets runtime-regler kan oppdage mistenkelig aktivitet i applikasjoner, containere, vertsoperativsystemet og Kubernetes-orchestratoren.<\/p>\n
Falco gir full \u00e5penhet i runtime’en og trusseloppdagelse, ved \u00e5 implementere spesielle agenter p\u00e5 Kubernetes-noder. Dette eliminerer behovet for \u00e5 modifisere containere ved \u00e5 injisere tredjepartskode eller ved \u00e5 legge til sidecar-containere.<\/p>\n
Sikkerhetsrammeverk for Linux for runtime<\/h3>\n \n
AppArmor<\/a><\/noindex> knyter sikkerhetsprofilen til prosessene som kj\u00f8rer i containeren, ved \u00e5 definere filsystemrettigheter, nettverkstilgangsregler, bibliotektilkoblinger osv. Dette er et system basert p\u00e5 mandatorisk tilgangskontroll (Mandatory Access Control, MAC). Med andre ord hindrer det utf\u00f8relsen av ulovlige handlinger.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) er et utvidelsessikkerhetsmodul i Linux-kjernen, som i noen aspekter ligner p\u00e5 AppArmor og ofte blir sammenlignet med det. SELinux overg\u00e5r AppArmor i kraft, fleksibilitet og finjustering. Dets ulemper er lang l\u00e6ringskurve og \u00f8kt kompleksitet.<\/p>\nSeccomp<\/a><\/noindex> og seccomp-bpf lar tener eigenvare systemkall, blokkere utf\u00f8relse av de som potensielt er farlige for det underliggende operativsystemet og som ikke er n\u00f8dvendige for normal drift av brukerprogrammer. Seccomp ligner p\u00e5 Falco i noen aspekter, selv om det ikke har kjennskap til spesifikasjoner for containere.<\/p>\nSysdig \u00e5pen kildekode<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")