\nPara facilitar a navega\u00e7\u00e3o pela lista, as ferramentas foram separadas por fun\u00e7\u00f5es principais e \u00e1reas de aplica\u00e7\u00e3o. Os seguintes se\u00e7\u00f5es surgiram:<\/p>\n
\n Varredura de imagens Kubernetes e an\u00e1lise est\u00e1tica;<\/li>\n Seguran\u00e7a em tempo de execu\u00e7\u00e3o;<\/li>\n Seguran\u00e7a de rede no Kubernetes;<\/li>\n Distribui\u00e7\u00e3o de imagens e gerenciamento de segredos;<\/li>\n Auditoria de seguran\u00e7a no Kubernetes;<\/li>\n Produtos comerciais abrangentes.<\/li>\n<\/ul>\n\nVamos ao que interessa:<\/p>\n
Varredura de imagens Kubernetes<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Site: anchore.com<\/a><\/noindex><\/li>\n Licen\u00e7a: livre (Apache) e oferta comercial<\/li>\n<\/ul>\n\n
Al\u00e9m da varredura tradicional das imagens de cont\u00eainer em busca de vulnerabilidades conhecidas no banco de dados CVE, o Anchore realiza v\u00e1rias outras verifica\u00e7\u00f5es dentro da pol\u00edtica de varredura: verifica o Dockerfile, vazamentos de credenciais, pacotes de linguagens de programa\u00e7\u00e3o utilizadas (npm, maven etc.), licen\u00e7as de software e muito mais.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Site: coreos.com\/clair<\/a><\/noindex> (agora sob a tutela da Red Hat)<\/i><\/li>\n Licen\u00e7a: livre (Apache)<\/li>\n<\/ul>\n\n(tamb\u00e9m da CoreOS \u2014 nota do tradutor.<\/b>)<\/i>O Clair pode coletar informa\u00e7\u00f5es sobre CVE de uma vasta gama de fontes, incluindo listas espec\u00edficas de vulnerabilidades para distribui\u00e7\u00f5es Linux, mantidas por equipes de seguran\u00e7a do Debian, Red Hat ou Ubuntu.<\/p>\n
Ao contr\u00e1rio do Anchore, o Clair se concentra principalmente na busca de vulnerabilidades e na correspond\u00eancia de dados com CVE. No entanto, o produto oferece aos usu\u00e1rios algumas funcionalidades de extens\u00e3o por meio de drivers plug-in.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Site: github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Licen\u00e7a: livre (Apache)<\/li>\n<\/ul>\n\n
O pacote Dagda se destaca de outras ferramentas semelhantes por dois recursos not\u00e1veis:<\/p>\n
\n Ele se integra perfeitamente com ClamAV<\/a><\/noindex>, atuando n\u00e3o apenas como uma ferramenta para escanear imagens de cont\u00eaineres, mas tamb\u00e9m como um antiv\u00edrus.<\/li>\n Tamb\u00e9m fornece prote\u00e7\u00e3o em tempo de execu\u00e7\u00e3o, recebendo eventos do daemon Docker em tempo real e integrando-se com o Falco (veja abaixo)<\/i> para coletar eventos de seguran\u00e7a durante a execu\u00e7\u00e3o do cont\u00eainer.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Site: github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Licen\u00e7a: livre (Apache), mas requer dados do JFrog Xray (produto comercial)<\/li>\n<\/ul>\n\n
KubeXray n\u00e3o apenas audita novos ou atualizados cont\u00eaineres em deployments (semelhante ao admission controller no Kubernetes), mas tamb\u00e9m verifica dinamicamente cont\u00eaineres em execu\u00e7\u00e3o quanto \u00e0 conformidade com novas pol\u00edticas de seguran\u00e7a, removendo recursos que fazem refer\u00eancia a imagens vulner\u00e1veis.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Site: snyk.io<\/a><\/noindex><\/li>\n Licen\u00e7a: vers\u00f5es livre (Apache) e comercial<\/li>\n<\/ul>\n\n
O Snyk conecta-se diretamente aos reposit\u00f3rios de c\u00f3digo, analisa o manifesto do projeto e examina o c\u00f3digo importado junto com as depend\u00eancias diretas e indiretas. O Snyk suporta diversas linguagens de programa\u00e7\u00e3o populares e pode identificar riscos de licenciamento ocultos.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Site: github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Licen\u00e7a: livre (AGPL)<\/li>\n<\/ul>\n\n
O lado negativo da simplicidade do Trivy \u00e9 que ser\u00e1 necess\u00e1rio entender como analisar e transmitir os resultados em formato JSON, para que possam ser utilizados por outras ferramentas de seguran\u00e7a do Kubernetes.<\/p>\n
Seguran\u00e7a de runtime no Kubernetes<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Site: falco.org<\/a><\/noindex><\/li>\n Licen\u00e7a: livre (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nUsando a ferramenta Sysdig para trabalhar no n\u00edvel do kernel Linux e perfilar chamadas de sistema, o Falco permite uma an\u00e1lise profunda do comportamento do sistema. Seu mecanismo de regras de runtime \u00e9 capaz de detectar atividades suspeitas em aplica\u00e7\u00f5es, cont\u00eaineres, no host base e no orquestrador Kubernetes.<\/p>\n
Falco oferece total transpar\u00eancia no funcionamento do runtime e detec\u00e7\u00e3o de amea\u00e7as, utilizando agentes especiais em n\u00f3s do Kubernetes para esse fim. Isso elimina a necessidade de modificar cont\u00eaineres, inserindo c\u00f3digo de terceiros ou anexando cont\u00eaineres sidecar.<\/p>\n
Frameworks de seguran\u00e7a do Linux para runtime<\/h3>\n \n
AppArmor<\/a><\/noindex> conecta o perfil de seguran\u00e7a a processos executados no cont\u00eainer, definindo privil\u00e9gios do sistema de arquivos, regras de acesso \u00e0 rede, a conex\u00e3o de bibliotecas, etc. \u00c9 um sistema baseado em controle de acesso mandat\u00e1rio (Mandatory Access Control, MAC). Em outras palavras, evita a realiza\u00e7\u00e3o de a\u00e7\u00f5es proibidas.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) \u00e9 um m\u00f3dulo de seguran\u00e7a aprimorada no kernel Linux, que em alguns aspectos \u00e9 semelhante ao AppArmor e frequentemente comparado a ele. O SELinux supera o AppArmor em poder, flexibilidade e sofistica\u00e7\u00e3o nas configura\u00e7\u00f5es. Suas desvantagens s\u00e3o o tempo prolongado de aprendizado e a complexidade aumentada.<\/p>\nSeccomp<\/a><\/noindex> e seccomp-bpf permitem filtrar chamadas de sistema, bloqueando a execu\u00e7\u00e3o daquelas que s\u00e3o potencialmente perigosas para o sistema operacional base e n\u00e3o s\u00e3o necess\u00e1rias para o funcionamento normal dos aplicativos de usu\u00e1rio. Seccomp em alguns aspectos \u00e9 semelhante ao Falco, embora n\u00e3o conhe\u00e7a a especificidade dos cont\u00eaineres.<\/p>\nSysdig c\u00f3digo aberto<\/h3>\n <\/p>\n
\n Site: www.sysdig.com\/opensource<\/a><\/noindex><\/li>\n Licen\u00e7a: livre (Apache)<\/li>\n<\/ul>\n\n(forense)<\/i> sistema base e quaisquer cont\u00eaineres que estejam rodando nele.<\/p>\n
Al\u00e9m disso, o Sysdig j\u00e1 suporta ambientes execut\u00e1veis para cont\u00eaineres e metadados do Kubernetes, adicionando dimens\u00f5es e r\u00f3tulos adicionais a todas as informa\u00e7\u00f5es coletadas sobre o comportamento do sistema. Existem v\u00e1rias maneiras de analisar um cluster Kubernetes usando o Sysdig: voc\u00ea pode realizar uma captura em um determinado momento atrav\u00e9s do kubectl capture<\/a><\/noindex> ou iniciar uma interface interativa baseada em ncurses usando o plugin kubectl dig<\/a><\/noindex>.<\/p>\nSeguran\u00e7a de Rede Kubernetes<\/h2>\n <\/p>\n
Aporeto<\/h3>\n <\/p>\n
\n Site: www.aporeto.com<\/a><\/noindex><\/li>\n Licen\u00e7a: comercial<\/li>\n<\/ul>\n\n
Aporeto \u00e9 capaz de gerar um identificador \u00fanico n\u00e3o apenas para Kubernetes\/cont\u00eaineres, mas tamb\u00e9m para hosts, fun\u00e7\u00f5es em nuvem e usu\u00e1rios. Dependendo desses identificadores e do conjunto de regras de seguran\u00e7a de rede definidas pelo administrador, as comunica\u00e7\u00f5es ser\u00e3o permitidas ou bloqueadas.<\/p>\n
Calico<\/h3>\n <\/p>\n
\n Site: www.projectcalico.org<\/a><\/noindex><\/li>\n Licen\u00e7a: livre (Apache)<\/li>\n<\/ul>\n\n
Cilium<\/h3>\n <\/p>\n
\n Site: www.cilium.io<\/a><\/noindex><\/li>\n Licen\u00e7a: livre (Apache)<\/li>\n<\/ul>\n\n
Cilium \u00e9 capaz de implantar pol\u00edticas de controle de acesso de rede com base em identificadores de cont\u00eainer, usando r\u00f3tulos do Docker ou Kubernetes e metadados. O Cilium tamb\u00e9m entende e filtra v\u00e1rios protocolos de n\u00edvel 7, como HTTP ou gRPC, permitindo definir um conjunto de chamadas REST que, por exemplo, ser\u00e3o permitidas entre dois deployments do Kubernetes.<\/p>\n
Istio<\/h3>\n <\/p>\n
\n Site: istio.io<\/a><\/noindex><\/li>\n Licen\u00e7a: livre (Apache)<\/li>\n<\/ul>\n\n
As capacidades de seguran\u00e7a de rede do Istio incluem criptografia TLS transparente para melhorar automaticamente o protocolo de comunica\u00e7\u00e3o entre microservi\u00e7os para HTTPS e seu pr\u00f3prio sistema RBAC para identifica\u00e7\u00e3o e autoriza\u00e7\u00e3o, permitindo ou negando a troca de dados entre diferentes cargas de trabalho no cluster.<\/p>\n
Nota do tradutor.<\/b>: Para saber mais sobre as capacidades de seguran\u00e7a do Istio, leia em este artigo<\/a><\/noindex>.<\/i><\/p>\nTigera<\/h3>\n <\/p>\n
\n Site: www.tigera.io<\/a><\/noindex><\/li>\n Licen\u00e7a: comercial<\/li>\n<\/ul>\n\n
Semelhante a outras solu\u00e7\u00f5es de rede nativas do Kubernetes, a Tigera conta com metadados para identificar diferentes servi\u00e7os e objetos no cluster, garantindo a detec\u00e7\u00e3o de problemas em tempo de execu\u00e7\u00e3o, auditorias cont\u00ednuas de conformidade e transpar\u00eancia da rede para infraestrutura multicloud ou h\u00edbrida com monolitos cont\u00eainerizados.<\/p>\n
Trireme<\/h3>\n <\/p>\n
\nSite: www.aporeto.com\/open-source<\/a><\/noindex><\/li>\nLicen\u00e7a: livre (Apache)<\/li>\n<\/ul>\n\n
Distribui\u00e7\u00e3o de imagens e gerenciamento de segredos<\/h2>\n <\/p>\n
Grafeas<\/h3>\n <\/p>\n
\n Site: grafeas.io<\/a><\/noindex><\/li>\n Licen\u00e7a: livre (Apache)<\/li>\n<\/ul>\n\n
Esta fonte de verdade centralizada ajuda a responder a perguntas como:<\/p>\n
\n Quem construiu e assinou um cont\u00eainer espec\u00edfico?<\/li>\n Ele passou por todos os scanners de seguran\u00e7a e verifica\u00e7\u00f5es exigidas pela pol\u00edtica de seguran\u00e7a? Quando? Quais foram os resultados? <\/li>\n Quem o implantou em produ\u00e7\u00e3o? Quais par\u00e2metros foram utilizados na implanta\u00e7\u00e3o?<\/li>\n<\/ul>\n<\/p>\n
In-toto<\/h3>\n <\/p>\n
\n Site: in-toto.github.io<\/a><\/noindex><\/li>\n Licen\u00e7a: livre (Apache)<\/li>\n<\/ul>\n\n
In-toto controla a execu\u00e7\u00e3o do plano, verificando se cada tarefa na cadeia \u00e9 realizada adequadamente apenas pelo pessoal autorizado e que n\u00e3o ocorreram manobras n\u00e3o autorizadas no processo de movimenta\u00e7\u00e3o do produto.<\/p>\n
Portieris<\/h3>\n <\/p>\n
\n Site: github.com\/IBM\/portieris<\/a><\/noindex><\/li>\n Licen\u00e7a: livre (Apache)<\/li>\n<\/ul>\n\nNotary<\/a><\/noindex> (escrevemos sobre ele no final este artigo<\/a><\/noindex> \u2014 nota do tradutor.<\/b>)<\/i> como uma fonte de verdade para confirmar artefatos confi\u00e1veis e assinados (ou seja, imagens de cont\u00eainer aprovadas).<\/p>\n Ao criar ou alterar uma carga de trabalho no Kubernetes, o Portieris carrega informa\u00e7\u00f5es sobre assinaturas e pol\u00edticas de confian\u00e7a para os cont\u00eaineres solicitados e, se necess\u00e1rio, faz altera\u00e7\u00f5es em tempo real no objeto JSON da API para executar vers\u00f5es assinadas dessas imagens.<\/p>\n
Vault<\/h3>\n <\/p>\n
\n Site: www.vaultproject.io<\/a><\/noindex><\/li>\n Licen\u00e7a: livre (MPL)<\/li>\n<\/ul>\n\n
Com o Helm chart do Vault, \u00e9 poss\u00edvel implantar como um novo deployment no cluster Kubernetes com o Consul como armazenamento backend. Ele suporta recursos nativos do Kubernetes, como tokens ServiceAccount e pode at\u00e9 atuar como o armazenamento de segredos do Kubernetes por padr\u00e3o.<\/p>\n
Nota do tradutor.<\/b>: A prop\u00f3sito, ontem a HashiCorp, desenvolvedora do Vault, anunciou algumas melhorias para o uso do Vault no Kubernetes, especialmente relacionadas ao Helm Chart. Mais detalhes podem ser lidos no blog do desenvolvedor<\/a><\/noindex>.<\/i><\/p>\nAuditoria de Seguran\u00e7a do Kubernetes<\/h2>\n <\/p>\n
Kube-bench<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")