\nAby upro\u015bci\u0107 nawigacj\u0119 po li\u015bcie, narz\u0119dzia s\u0105 podzielone wed\u0142ug podstawowych funkcji i obszar\u00f3w zastosowania. Powsta\u0142y nast\u0119puj\u0105ce sekcje:<\/p>\n
\n Skanowanie obraz\u00f3w Kubernetes i analiza statyczna;<\/li>\n Bezpiecze\u0144stwo runtime;<\/li>\n Bezpiecze\u0144stwo sieciowe Kubernetes;<\/li>\n Rozpowszechnianie obraz\u00f3w i zarz\u0105dzanie sekretami;<\/li>\n Audyt bezpiecze\u0144stwa Kubernetes;<\/li>\n Kompleksowe produkty komercyjne.<\/li>\n<\/ul>\n\nPrzejd\u017amy do rzeczy:<\/p>\n
Skanowanie obraz\u00f3w Kubernetes<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Strona: anchore.com<\/a><\/noindex><\/li>\n Licencja: wolna (Apache) oraz oferta komercyjna<\/li>\n<\/ul>\n\n
Opr\u00f3cz tradycyjnego skanowania obraz\u00f3w kontener\u00f3w pod k\u0105tem znanych podatno\u015bci z bazy CVE, Anchore przeprowadza wiele dodatkowych kontroli w ramach polityki skanowania: sprawdza Dockerfile, wycieki danych uwierzytelniaj\u0105cych, pakiety u\u017cywanych j\u0119zyk\u00f3w programowania (npm, maven itd.), licencje oprogramowania i wiele wi\u0119cej.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Strona: coreos.com\/clair<\/a><\/noindex> (teraz pod opiek\u0105 Red Hat)<\/i><\/li>\n Licencja: wolna (Apache)<\/li>\n<\/ul>\n\n(te\u017c od CoreOS \u2014 przyp. t\u0142um.<\/b>)<\/i>. Clair potrafi zbiera\u0107 informacje o CVE z wielu \u017ar\u00f3de\u0142, w tym z list specyficznych dla dystrybucji Linuxa, nad kt\u00f3rymi pracuj\u0105 zespo\u0142y bezpiecze\u0144stwa Debian, Red Hat lub Ubuntu.<\/p>\n
W odr\u00f3\u017cnieniu od Anchore, Clair g\u0142\u00f3wnie zajmuje si\u0119 wyszukiwaniem luk i dopasowywaniem danych z CVE. Niemniej jednak, produkt oferuje u\u017cytkownikom pewne mo\u017cliwo\u015bci rozszerzania funkcji za pomoc\u0105 wtyczek.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Strona: github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Licencja: wolna (Apache)<\/li>\n<\/ul>\n\n
Dwie wyj\u0105tkowe cechy wyr\u00f3\u017cniaj\u0105 pakiet Dagda na tle innych podobnych narz\u0119dzi:<\/p>\n
\n Doskonale integruje si\u0119 z ClamAV<\/a><\/noindex>, dzia\u0142aj\u0105c nie tylko jako narz\u0119dzie do skanowania obraz\u00f3w kontener\u00f3w, ale r\u00f3wnie\u017c jako program antywirusowy.<\/li>\n Zapewnia r\u00f3wnie\u017c ochron\u0119 w czasie rzeczywistym, odbieraj\u0105c zdarzenia z demona Dockera i integruj\u0105c si\u0119 z Falco (patrz poni\u017cej)<\/i> w celu zbierania zdarze\u0144 bezpiecze\u0144stwa podczas dzia\u0142ania kontenera.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Strona: github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Licencja: wolna (Apache), ale wymaga uzyskania danych od JFrog Xray (produktu komercyjnego)<\/li>\n<\/ul>\n\n
KubeXray nie tylko audytuje nowe lub zaktualizowane kontenery w deployment'ach (analogicznie do admission controller w Kubernetes), ale tak\u017ce dynamicznie sprawdza dzia\u0142aj\u0105ce kontenery pod k\u0105tem zgodno\u015bci z nowymi politykami bezpiecze\u0144stwa, usuwaj\u0105c zasoby, kt\u00f3re odnosz\u0105 si\u0119 do podatnych obraz\u00f3w.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Strona: snyk.io<\/a><\/noindex><\/li>\n Licencja: wolna (Apache) i wersje komercyjne<\/li>\n<\/ul>\n\n
Snyk bezpo\u015brednio \u0142\u0105czy si\u0119 z repozytoriami kodu, analizuje manifest projektu i bada importowany kod wraz z bezpo\u015brednimi i po\u015brednimi zale\u017cno\u015bciami. Snyk wspiera wiele popularnych j\u0119zyk\u00f3w programowania i mo\u017ce ujawnia\u0107 ukryte ryzyka licencyjne.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Strona: github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Licencja: wolna (AGPL)<\/li>\n<\/ul>\n\n
Drug\u0105 stron\u0105 prostoty Trivy jest konieczno\u015b\u0107 zrozumienia, jak analizowa\u0107 i przesy\u0142a\u0107 wyniki w formacie JSON, aby mog\u0142y by\u0107 wykorzystane przez inne narz\u0119dzia zabezpieczaj\u0105ce Kubernetes.<\/p>\n
Bezpiecze\u0144stwo runtime w Kubernetes<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Strona: falco.org<\/a><\/noindex><\/li>\n Licencja: wolna (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nKorzystaj\u0105c z narz\u0119dzi Sysdig dzia\u0142aj\u0105cych na poziomie j\u0105dra Linux i profilu systemowych wywo\u0142a\u0144, Falco daje g\u0142\u0119boki wgl\u0105d w zachowanie systemu. Jego mechanizm regu\u0142 runtime potrafi wykrywa\u0107 podejrzan\u0105 aktywno\u015b\u0107 w aplikacjach, kontenerach, podstawowym ho\u015bcie i orkiestratorze Kubernetes.<\/p>\n
Falco zapewnia pe\u0142n\u0105 transparentno\u015b\u0107 pracy runtime'a i wykrywanie zagro\u017ce\u0144, stosuj\u0105c w tym celu specjalne agent\u00f3w na w\u0119z\u0142ach Kubernetes. W rezultacie nie ma potrzeby modyfikowania kontener\u00f3w poprzez wprowadzanie zewn\u0119trznego kodu lub dodawanie sidecar-kontener\u00f3w.<\/p>\n
Frameworki zabezpiecze\u0144 Linux dla runtime<\/h3>\n \n
AppArmor<\/a><\/noindex> przypisuje profil bezpiecze\u0144stwa do proces\u00f3w uruchomionych w kontenerze, definiuj\u0105c przywileje systemu plik\u00f3w, zasady dost\u0119pu sieciowego, pod\u0142\u0105czenie bibliotek itp. Jest to system oparty na m systemie zarz\u0105dzania dost\u0119pem za pomoc\u0105 polityki (Mandatory Access Control, MAC). Innymi s\u0142owy, zapobiega wykonaniu zabronionych dzia\u0142a\u0144.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) \u2014 to modu\u0142 rozszerzonego bezpiecze\u0144stwa w j\u0105drze Linux, w niekt\u00f3rych aspektach podobny do AppArmor i cz\u0119sto z nim por\u00f3wnywany. SELinux przewy\u017csza AppArmor pod wzgl\u0119dem mocy, fleksybilno\u015bci i szczeg\u00f3\u0142owo\u015bci ustawie\u0144. Jego wadami s\u0105 d\u0142ugi proces nauki i zwi\u0119kszona z\u0142o\u017cono\u015b\u0107.<\/p>\nSeccomp<\/a><\/noindex> i seccomp-bpf umo\u017cliwiaj\u0105 filtrowanie wywo\u0142a\u0144 systemowych, blokuj\u0105c wykonanie tych, kt\u00f3re mog\u0105 by\u0107 potencjalnie niebezpieczne dla podstawowego systemu operacyjnego i nie s\u0105 potrzebne do normalnego dzia\u0142ania aplikacji u\u017cytkownik\u00f3w. Seccomp w niekt\u00f3rych aspektach przypomina Falco, chocia\u017c nie zna specyfiki kontener\u00f3w.<\/p>\nSysdig open source<\/h3>\n <\/p>\n
\n Strona: www.sysdig.com\/opensource<\/a><\/noindex><\/li>\n Licencja: wolna (Apache)<\/li>\n<\/ul>\n\n(forensics)<\/i> podstawowego systemu oraz wszelkich kontener\u00f3w dzia\u0142aj\u0105cych na nim.<\/p>\n
Sysdig wspiera r\u00f3wnie\u017c \u015brodowiska wykonawcze dla kontener\u00f3w oraz metadane Kubernetes, dodaj\u0105c dodatkowe pomiary i etykiety do wszystkich zbieranych informacji o zachowaniu systemu. Istnieje kilka sposob\u00f3w analizy klastra Kubernetes za pomoc\u0105 Sysdig: mo\u017cna przeprowadzi\u0107 zrzut w okre\u015blonym momencie czasu przez kubectl capture<\/a><\/noindex> lub uruchomi\u0107 interaktywny interfejs oparty na ncurses za pomoc\u0105 wtyczki kubectl dig<\/a><\/noindex>.<\/p>\nBezpiecze\u0144stwo sieci Kubernetes<\/h2>\n <\/p>\n
Aporeto<\/h3>\n <\/p>\n
\n Strona: www.aporeto.com<\/a><\/noindex><\/li>\n Licencja: komercyjna<\/li>\n<\/ul>\n\n
Aporeto mo\u017ce generowa\u0107 unikalny identyfikator nie tylko dla Kubernetes\/kontener\u00f3w, ale tak\u017ce dla host\u00f3w, funkcji chmurowych i u\u017cytkownik\u00f3w. W zale\u017cno\u015bci od tych identyfikator\u00f3w i zestawu zasad bezpiecze\u0144stwa sieci okre\u015blonych przez administratora, komunikacja b\u0119dzie dozwolona lub zablokowana.<\/p>\n
Calico<\/h3>\n <\/p>\n
\n Strona: www.projectcalico.org<\/a><\/noindex><\/li>\n Licencja: wolna (Apache)<\/li>\n<\/ul>\n\n
Cilium<\/h3>\n <\/p>\n
\n Strona: www.cilium.io<\/a><\/noindex><\/li>\n Licencja: wolna (Apache)<\/li>\n<\/ul>\n\n
Cilium jest w stanie wdra\u017ca\u0107 polityki dost\u0119pu sieciowego na podstawie identyfikator\u00f3w kontener\u00f3w, u\u017cywaj\u0105c etykiet Docker lub Kubernetes oraz metadanych. Cilium rozumie r\u00f3wnie\u017c i filtruje r\u00f3\u017cne protoko\u0142y 7 warstwy, takie jak HTTP czy gRPC, umo\u017cliwiaj\u0105c okre\u015blenie zestawu wywo\u0142a\u0144 REST, kt\u00f3re, na przyk\u0142ad, b\u0119d\u0105 dozwolone mi\u0119dzy dwoma deployment'ami Kubernetes.<\/p>\n
Istio<\/h3>\n <\/p>\n
\n Strona: istio.io<\/a><\/noindex><\/li>\n Licencja: wolna (Apache)<\/li>\n<\/ul>\n\n
Mo\u017cliwo\u015bci Istio w zakresie zapewnienia bezpiecze\u0144stwa sieciowego obejmuj\u0105 przezroczyste szyfrowanie TLS, kt\u00f3re automatycznie poprawia protok\u00f3\u0142 komunikacji mi\u0119dzy mikroserwisami do HTTPS, oraz w\u0142asny system RBAC do identyfikacji i autoryzacji, umo\u017cliwiaj\u0105cy zezwolenie\/zakaz wymiany danych pomi\u0119dzy r\u00f3\u017cnymi obci\u0105\u017ceniami roboczymi w klastrze.<\/p>\n
Przyp. t\u0142um.<\/b>: Wi\u0119cej informacji na temat mo\u017cliwo\u015bci Istio zwi\u0105zanych z bezpiecze\u0144stwem mo\u017cna znale\u017a\u0107 w w tym artykule<\/a><\/noindex>.<\/i><\/p>\nTigera<\/h3>\n <\/p>\n
\n Strona: www.tigera.io<\/a><\/noindex><\/li>\n Licencja: komercyjna<\/li>\n<\/ul>\n\n
Podobnie jak w innych natywnych dla Kubernetes rozwi\u0105zaniach sieciowych, Tigera polega na metadanych w celu identyfikacji r\u00f3\u017cnych us\u0142ug i obiekt\u00f3w w klastrze, a tak\u017ce zapewnia wykrywanie problem\u00f3w w czasie rzeczywistym, ci\u0105g\u0142\u0105 weryfikacj\u0119 zgodno\u015bci oraz przejrzysto\u015b\u0107 sieci dla infrastruktur wielochmurowych lub hybrydowych, opartych na monolitycznym konteneryzowaniu.<\/p>\n
Trireme<\/h3>\n <\/p>\n
\nStrona: www.aporeto.com\/opensource<\/a><\/noindex><\/li>\nLicencja: wolna (Apache)<\/li>\n<\/ul>\n\n
Dystrybucja obraz\u00f3w i zarz\u0105dzanie sekretami<\/h2>\n <\/p>\n
Grafeas<\/h3>\n <\/p>\n
\n Strona: grafeas.io<\/a><\/noindex><\/li>\n Licencja: wolna (Apache)<\/li>\n<\/ul>\n\n
To centralne \u017ar\u00f3d\u0142o prawdy pomaga odpowiedzie\u0107 na pytania takie jak:<\/p>\n
\n Kto zbudowa\u0142 i podpisa\u0142 dany kontener?<\/li>\n Czy przeszed\u0142 przez wszystkie skanery bezpiecze\u0144stwa i kontrole przewidziane w polityce bezpiecze\u0144stwa? Kiedy? Jakie by\u0142y wyniki? <\/li>\n Kto wdro\u017cy\u0142 go na produkcj\u0119? Jakie dok\u0142adnie parametry zosta\u0142y u\u017cyte podczas wdro\u017cenia?<\/li>\n<\/ul>\n<\/p>\n
In-toto<\/h3>\n <\/p>\n
\n Strona: in-toto.github.io<\/a><\/noindex><\/li>\n Licencja: wolna (Apache)<\/li>\n<\/ul>\n\n
In-toto kontroluje wykonanie planu, sprawdzaj\u0105c, czy ka\u017cde zadanie w \u0142a\u0144cuchu jest wykonywane poprawnie przez wy\u0142\u0105cznie upowa\u017cniony personel i czy w trakcie ruchu z produktem nie by\u0142y przeprowadzane \u017cadne nieautoryzowane manipulacje.<\/p>\n
Portieris<\/h3>\n <\/p>\n
\n Strona: github.com\/IBM\/portieris<\/a><\/noindex><\/li>\n Licencja: wolna (Apache)<\/li>\n<\/ul>\n\nNotary<\/a><\/noindex> (pisali\u015bmy o nim na ko\u0144cu tego artyku\u0142u<\/a><\/noindex> \u2014 przyp. t\u0142um.<\/b>)<\/i> jako \u017ar\u00f3d\u0142a prawdy do potwierdzania zaufanych i podpisanych artefakt\u00f3w (to jest zatwierdzonych obraz\u00f3w kontener\u00f3w).<\/p>\n Podczas tworzenia lub zmiany obci\u0105\u017cenia roboczego w Kubernetes, Portieris \u0142aduje informacje o podpisie oraz polityk\u0119 zaufania do tre\u015bci dla \u017c\u0105danych obraz\u00f3w kontener\u00f3w, a w razie potrzeby wprowadza zmiany w obiekcie JSON API w celu uruchomienia podpisanych wersji tych obraz\u00f3w.<\/p>\n
Vault<\/h3>\n <\/p>\n
\n Strona: www.vaultproject.io<\/a><\/noindex><\/li>\n Licencja: wolna (MPL)<\/li>\n<\/ul>\n\n
Dzi\u0119ki Helm-chartowi Vault mo\u017cna wdro\u017cy\u0107 jako nowy deployment w klastrze Kubernetes z Consul'em jako backendem. Obs\u0142uguje natywne zasoby Kubernetes, takie jak tokeny ServiceAccount, a tak\u017ce mo\u017ce pe\u0142ni\u0107 rol\u0119 domy\u015blnego magazynu sekret\u00f3w Kubernetes.<\/p>\n
Przyp. t\u0142um.<\/b>: Swoj\u0105 drog\u0105, dos\u0142ownie wczoraj firma HashiCorp, kt\u00f3ra rozwija Vault, og\u0142osi\u0142a pewne ulepszenia dotycz\u0105ce korzystania z Vault w Kubernetes, szczeg\u00f3lnie dotycz\u0105ce Helm-Chartu. Szczeg\u00f3\u0142y mo\u017cna znale\u017a\u0107 w blogu dewelopera<\/a><\/noindex>.<\/i><\/p>\nAudyt bezpiecze\u0144stwa Kubernetes<\/h2>\n <\/p>\n
Kube-bench<\/h3>\n <\/p>\n
\nStrona: github.com\/aquasecurity\/kube-bench<\/a><\/noindex><\/li>\nLicencja: wolna (Apache)<\/li>\n<\/ul>\n\nCIS Kubernetes Benchmark<\/a><\/noindex>.<\/p>\nKube-bench szuka niebezpiecznych ustawie\u0144 konfiguracyjnych w\u015br\u00f3d komponent\u00f3w klastra (etcd, API, manager kontrolera itp.), podejrzanych uprawnie\u0144 do plik\u00f3w, niezabezpieczonych kont u\u017cytkownik\u00f3w lub otwartych port\u00f3w, limit\u00f3w zasob\u00f3w, ustawie\u0144 ogranicze\u0144 liczby wywo\u0142a\u0144 API w celu ochrony przed atakami DoS itp.<\/p>\n
Kube-hunter<\/h3>\n <\/p>\n
\n Strona: github.com\/aquasecurity\/kube-hunter<\/a><\/noindex><\/li>\n Licencja: wolna (Apache)<\/li>\n<\/ul>\n\n
Wyj\u0105tkow\u0105 cech\u0105 Kube-hunter'a jest tryb 'aktywnego polowania', w kt\u00f3rym nie tylko zg\u0142asza problemy, ale r\u00f3wnie\u017c stara si\u0119 wykorzysta\u0107 podatno\u015bci wykryte w docelowym klastrze, kt\u00f3re mog\u0105 potencjalnie zaszkodzi\u0107 jego dzia\u0142aniu. Nale\u017cy wi\u0119c korzysta\u0107 z ostro\u017cno\u015bci\u0105!<\/p>\n
Kubeaudit<\/h3>\n <\/p>\n
\n Strona: github.com\/Shopify\/kubeaudit<\/a><\/noindex><\/li>\n Licencja: wolna (MIT)<\/li>\n<\/ul>\n\n
Kubeaudit ma tak\u017ce inne interesuj\u0105ce mo\u017cliwo\u015bci. Na przyk\u0142ad potrafi analizowa\u0107 lokalne pliki YAML, wykrywaj\u0105c niedoci\u0105gni\u0119cia w konfiguracji, kt\u00f3re mog\u0105 prowadzi\u0107 do problem\u00f3w z bezpiecze\u0144stwem, i automatycznie je naprawia\u0107.<\/p>\n
Kubesec<\/h3>\n <\/p>\n
\n Strona: kubesec.io<\/a><\/noindex><\/li>\n Licencja: wolna (Apache)<\/li>\n<\/ul>\n\n
Na przyk\u0142ad, mo\u017ce wykrywa\u0107 nadmiarowe uprawnienia i zezwolenia przyznane pod'owi, uruchamianie kontenera z root'em jako u\u017cytkownikiem domy\u015blnym, pod\u0142\u0105czanie do przestrzeni nazw sieci hosta lub niebezpieczne montowania. \/proc<\/code> hosta lub gniazda Docker'a. Inn\u0105 interesuj\u0105c\u0105 funkcj\u0105 Kubesec jest dost\u0119pna online us\u0142uga demo, do kt\u00f3rej mo\u017cna przes\u0142a\u0107 plik YAML i od razu przeprowadzi\u0107 jego analiz\u0119.<\/p>\nOpen Policy Agent<\/h3>\n <\/p>\n
\n Strona: www.openpolicyagent.org<\/a><\/noindex><\/li>\n Licencja: wolna (Apache)<\/li>\n<\/ul>\n\n
Na przyk\u0142ad, mo\u017cna uruchomi\u0107 OPA jako backend dla kontrolera admission Kubernetes, deleguj\u0105c mu decyzje dotycz\u0105ce bezpiecze\u0144stwa. Dzi\u0119ki temu agent OPA mo\u017ce kontrolowa\u0107, odrzuca\u0107, a nawet zmienia\u0107 zapytania w locie, zapewniaj\u0105c zgodno\u015b\u0107 z okre\u015blonymi parametrami bezpiecze\u0144stwa. Polityki bezpiecze\u0144stwa w OPA s\u0105 napisane w jego w\u0142asnym j\u0119zyku DSL, Rego.<\/p>\n
Przyp. t\u0142um.<\/b>: Wi\u0119cej na temat OPA (i SPIFFE) napisali\u015bmy w tym materiale<\/a><\/noindex>.<\/i><\/p>\nZ\u0142o\u017cone komercyjne narz\u0119dzia do analizy bezpiecze\u0144stwa Kubernetes<\/h2>\n \nPostanowili\u015bmy stworzy\u0107 osobn\u0105 kategori\u0119 dla komercyjnych platform, poniewa\u017c zazwyczaj obejmuj\u0105 one kilka obszar\u00f3w bezpiecze\u0144stwa. Og\u00f3lny przegl\u0105d ich mo\u017cliwo\u015bci mo\u017cna znale\u017a\u0107 w tabeli:<\/p>\n
* Zaawansowana ekspertyza i analiza post mortem z pe\u0142nym zapisem wywo\u0142a\u0144 systemowych<\/a><\/noindex>.<\/i><\/p>\nAqua Security<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")