\nPentru a simplifica navigarea \u00een list\u0103, instrumentele sunt \u00eemp\u0103r\u021bite \u00een func\u021bii principale \u0219i domenii de aplicare. Iat\u0103 sec\u021biunile rezultate:<\/p>\n
\n Scanarea imaginilor Kubernetes \u0219i analiza static\u0103;<\/li>\n Securitatea runtime;<\/li>\n Securitatea re\u021belei Kubernetes;<\/li>\n Distribu\u021bia imaginilor \u0219i gestionarea secretelor;<\/li>\n Auditul de securitate Kubernetes;<\/li>\n Produse comerciale complete.<\/li>\n<\/ul>\n\nS\u0103 trecem la treab\u0103:<\/p>\n
Scanarea imaginilor Kubernetes<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Site: anchore.com<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache) \u0219i ofert\u0103 comercial\u0103<\/li>\n<\/ul>\n\n
Pe l\u00e2ng\u0103 scanarea obi\u0219nuit\u0103 a imaginilor containerelor pentru vulnerabilit\u0103\u021bi cunoscute din baza CVE, Anchore efectueaz\u0103 numeroase verific\u0103ri suplimentare \u00een cadrul politicii de scanare: verific\u0103 Dockerfile-ul, scurgerile de acreditive, pachetele utilizate (npm, maven etc.), licen\u021bele software \u0219i multe altele.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Site: coreos.com\/clair<\/a><\/noindex> (acum sub \u00eengrijirea Red Hat)<\/i><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\n(de asemenea de la CoreOS \u2014 not\u0103 de traducere.<\/b>)<\/i>. Clair poate colecta informa\u021bii despre CVE dintr-o varietate de surse, inclusiv liste specifice ale vulnerabilit\u0103\u021bilor pentru distribu\u021biile Linux, gestionate de echipele de securitate Debian, Red Hat sau Ubuntu.<\/p>\n
Spre deosebire de Anchore, Clair se concentreaz\u0103 \u00een principal pe identificarea vulnerabilit\u0103\u021bilor \u0219i pe corelarea datelor cu CVE. Cu toate acestea, produsul ofer\u0103 utilizatorilor unele func\u021bionalit\u0103\u021bi suplimentare prin intermediul driverelor de extensie.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Site: github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\n
Fa\u021b\u0103 de alte instrumente similare, pachetul Dagda se distinge prin dou\u0103 caracteristici notabile:<\/p>\n
\n Se integreaz\u0103 excelent cu ClamAV<\/a><\/noindex>, ac\u021bion\u00e2nd nu doar ca un instrument pentru scanarea imaginilor containerelor, ci \u0219i ca un antivirus.<\/li>\n De asemenea, ofer\u0103 protec\u021bie \u00een timpul execu\u021biei, primind \u00een timp real evenimente de la demonul Docker \u0219i integr\u00e2ndu-se cu Falco (vezi mai jos)<\/i> pentru a colecta evenimente de securitate \u00een timpul func\u021bion\u0103rii containerului.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Site: github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache), dar necesit\u0103 ob\u021binerea de date de la JFrog Xray (produs comercial)<\/li>\n<\/ul>\n\n
KubeXray nu doar c\u0103 efectueaz\u0103 un audit al containerelor noi sau actualizate \u00een deployment-uri (similar cu admission controller \u00een Kubernetes), ci verific\u0103 dinamic containerele active pentru conformitatea cu noile politici de securitate, elimin\u00e2nd resursele care fac referire la imagini vulnerabile.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Site: snyk.io<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache) \u0219i versiuni comerciale<\/li>\n<\/ul>\n\n
Snyk se conecteaz\u0103 direct la repozitoarele de cod, analizeaz\u0103 manifestul proiectului \u0219i examin\u00e2nd codul importat \u00eempreun\u0103 cu dependen\u021bele directe \u0219i indirecte. Snyk suport\u0103 multe limbi de programare populare \u0219i poate detecta riscuri legate de licen\u021b\u0103 ascunse.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Site: github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (AGPL)<\/li>\n<\/ul>\n\n
Fa\u021ba ascuns\u0103 a simplit\u0103\u021bii Trivy este c\u0103 va trebui s\u0103 \u00eenv\u0103\u021ba\u021bi cum s\u0103 analiza\u021bi \u0219i s\u0103 trimite\u021bi rezultatele \u00een format JSON, pentru a putea fi utilizate de alte instrumente de securitate Kubernetes.<\/p>\n
Securitate runtime \u00een Kubernetes<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Site: falco.org<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nFolosind instrumentele Sysdig pentru a lucra la nivel de kernel Linux \u0219i profilarea apelurilor de sistem, Falco permite o analiz\u0103 profund\u0103 a comportamentului sistemului. Mecanismul s\u0103u de reguli runtime este capabil s\u0103 detecteze activit\u0103\u021bi suspecte \u00een aplica\u021bii, containere, gazda de baz\u0103 \u0219i orchestratorul Kubernetes.<\/p>\n
Falco ofer\u0103 transparen\u021b\u0103 complet\u0103 \u00een func\u021bionarea runtime-ului \u0219i detectarea amenin\u021b\u0103rilor, instal\u00e2nd agen\u021bi speciali pe nodurile Kubernetes. Astfel, nu mai este necesar s\u0103 se modifice containerele prin inserarea de cod ter\u021b sau prin ad\u0103ugarea de containere sidecar.<\/p>\n
Framework-uri de securitate Linux pentru runtime<\/h3>\n \n
AppArmor<\/a><\/noindex> conecteaz\u0103 un profil de securitate proceselor care ruleaz\u0103 \u00een container, definind privilegiile sistemului de fi\u0219iere, regulile de acces la re\u021bea, conectarea bibliotecilor etc. Aceasta este un sistem bazat pe controlul accesului obligatoriu (Mandatory Access Control, MAC). Cu alte cuvinte, \u00eempiedic\u0103 executarea ac\u021biunilor interzise.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) \u2014 este un modul de securitate extins \u00een kernel-ul Linux, care \u00een unele privin\u021be este similar cu AppArmor \u0219i este adesea comparat cu acesta. SELinux dep\u0103\u0219e\u0219te AppArmor \u00een putere, flexibilitate \u0219i fine\u021be a configura\u021biilor. Dezavantajele sale sunt timpul \u00eendelungat de \u00eenv\u0103\u021bare \u0219i complexitatea crescut\u0103.<\/p>\nSeccomp<\/a><\/noindex> seccomp-bpf permite filtrarea apelurilor sistemului, bloc\u00e2nd execu\u021bia celor care sunt poten\u021bial periculoase pentru sistemul de operare de baz\u0103 \u0219i care nu sunt necesare pentru func\u021bionarea normal\u0103 a aplica\u021biilor utilizatorului. Seccomp seam\u0103n\u0103 \u00een unele privin\u021be cu Falco, de\u0219i nu cunoa\u0219te specificit\u0103\u021bile containerelor.<\/p>\nSysdig open source<\/h3>\n <\/p>\n
\n Site: www.sysdig.com\/opensource<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\n(expertiz\u0103 criminalistic\u0103)<\/i> sistemului de baz\u0103 \u0219i orice containere care ruleaz\u0103 pe acesta.<\/p>\n
De asemenea, Sysdig sprijin\u0103 ini\u021bial mediile de execu\u021bie pentru containere \u0219i metadatele Kubernetes, ad\u0103ug\u00e2nd dimensiuni \u0219i etichete suplimentare la toate informa\u021biile colectate despre comportamentul sistemului. Exist\u0103 mai multe moduri de a analiza un cluster Kubernetes folosind Sysdig: se poate efectua o captur\u0103 la un anumit moment prin kubectl capture<\/a><\/noindex> sau se poate lansa o interfa\u021b\u0103 interactiv\u0103 bazat\u0103 pe ncurses folosind pluginul kubectl dig<\/a><\/noindex>.<\/p>\nSecuritatea re\u021belei Kubernetes<\/h2>\n <\/p>\n
Aporeto<\/h3>\n <\/p>\n
\n Site: www.aporeto.com<\/a><\/noindex><\/li>\n Licen\u021b\u0103: comercial\u0103<\/li>\n<\/ul>\n\n
Aporeto este capabil s\u0103 genereze un identificator unic nu doar pentru Kubernetes\/containere, ci \u0219i pentru gazde, func\u021bii \u00een cloud \u0219i utilizatori. \u00cen func\u021bie de ace\u0219ti identificatori \u0219i de setul de reguli de securitate a re\u021belei stabilite de administrator, comunica\u021biile vor fi permise sau blocate.<\/p>\n
Calico<\/h3>\n <\/p>\n
\n Site: www.projectcalico.org<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\n
Cilium<\/h3>\n <\/p>\n
\n Site: www.cilium.io<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\n
Cilium poate implementa politici de acces la re\u021bea bazate pe identificatorii containerelor, folosind etichete Docker sau Kubernetes \u0219i metadate. Cilium \u00een\u021belege \u0219i filtreaz\u0103, de asemenea, diferite protocoale de nivel 7, cum ar fi HTTP sau gRPC, permi\u021b\u00e2nd definirea unui set de apeluri REST care, de exemplu, vor fi permise \u00eentre dou\u0103 deployment-uri Kubernetes.<\/p>\n
Istio<\/h3>\n <\/p>\n
\n Site: istio.io<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\n
Capabilit\u0103\u021bile Istio pentru asigurarea securit\u0103\u021bii re\u021belei includ criptarea transparent\u0103 TLS pentru \u00eembun\u0103t\u0103\u021birea automat\u0103 a protocoalelor de comunicare \u00eentre microservicii la HTTPS \u0219i un sistem propriu RBAC pentru identificare \u0219i autorizare, permi\u021b\u00e2nd sau interzic\u00e2nd schimbul de date \u00eentre diverse sarcini de lucru din cluster.<\/p>\n
Nota traduc\u0103torului.<\/b>: Pentru mai multe informa\u021bii despre capabilit\u0103\u021bile Istio orientate spre securitate, citi\u021bi \u00een aceast\u0103 articole<\/a><\/noindex>.<\/i><\/p>\nTigera<\/h3>\n <\/p>\n
\n Site: www.tigera.io<\/a><\/noindex><\/li>\n Licen\u021b\u0103: comercial\u0103<\/li>\n<\/ul>\n\n
\u00cen mod similar cu alte solu\u021bii de re\u021bea native pentru Kubernetes, Tigera se bazeaz\u0103 pe metadatele pentru a identifica diverse servicii \u0219i obiecte din cluster, oferind detectarea problemelor \u00een runtime, audit continuu de conformitate \u0219i transparen\u021b\u0103 a re\u021belei pentru infrastructuri hibrid-multicloud sau monolitice-containerizate.<\/p>\n
Trireme<\/h3>\n <\/p>\n
\nSite: www.aporeto.com\/opensource<\/a><\/noindex><\/li>\nLicen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\n
Distribu\u021bia imaginilor \u0219i gestionarea secretelor<\/h2>\n <\/p>\n
Grafeas<\/h3>\n <\/p>\n
\n Site: grafeas.io<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\n
Aceast\u0103 surs\u0103 centralizat\u0103 de adev\u0103r ajut\u0103 la r\u0103spunsul la \u00eentreb\u0103ri precum:<\/p>\n
\n Cine a construit \u0219i semnat un anumit container?<\/li>\n A trecut prin toate scanerele de securitate \u0219i verific\u0103rile prev\u0103zute de politica de securitate? C\u00e2nd? Care au fost rezultatele? <\/li>\n Cine l-a desf\u0103\u0219urat \u00een produc\u021bie? Care au fost parametrii utiliza\u021bi la desf\u0103\u0219urare?<\/li>\n<\/ul>\n<\/p>\n
In-toto<\/h3>\n <\/p>\n
\n Site: in-toto.github.io<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\n
In-toto monitorizeaz\u0103 executarea planului, verific\u00e2nd c\u0103 fiecare sarcin\u0103 din lan\u021b este \u00eendeplinit\u0103 corect exclusiv de personal autorizat \u0219i c\u0103 nu au fost efectuate manipul\u0103ri neautorizate pe parcursul desf\u0103\u0219ur\u0103rii produsului.<\/p>\n
Portieris<\/h3>\n <\/p>\n
\n Site: github.com\/IBM\/portieris<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\nNotary<\/a><\/noindex> (am scris despre el la sf\u00e2r\u0219it acestui articol<\/a><\/noindex> \u2014 not\u0103 de traducere.<\/b>)<\/i> ca surs\u0103 de adev\u0103r pentru a valida artefactele de \u00eencredere \u0219i semnate (adic\u0103 imaginile de container autorizate).<\/p>\n At the creation or modification of a workload in Kubernetes, Portieris loads signature information and trust policy for the requested container images and makes on-the-fly changes to the API JSON object to launch signed versions of these images if necessary.<\/p>\n
Vault<\/h3>\n <\/p>\n
\n Site: www.vaultproject.io<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (MPL)<\/li>\n<\/ul>\n\n
Cu ajutorul Helm-chart-ului, Vault poate fi implementat ca un nou deployment \u00een clusterul Kubernetes av\u00e2nd Consul ca backend de stocare. Acesta suport\u0103 resurse native Kubernetes, precum token-uri ServiceAccount \u0219i poate func\u021biona chiar \u0219i ca stocare pentru secretele Kubernetes din mod default.<\/p>\n
Nota traduc\u0103torului.<\/b>: Apropo, chiar ieri compania HashiCorp, care dezvolt\u0103 Vault, a anun\u021bat c\u00e2teva \u00eembun\u0103t\u0103\u021biri pentru utilizarea Vault \u00een Kubernetes, iar acestea se refer\u0103 \u00een special la chart-ul Helm. Detalii pute\u021bi citi \u00een blogul dezvoltatorului<\/a><\/noindex>.<\/i><\/p>\nAuditul de securitate Kubernetes<\/h2>\n <\/p>\n
Kube-bench<\/h3>\n <\/p>\n
\nSite: github.com\/aquasecurity\/kube-bench<\/a><\/noindex><\/li>\nLicen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\nCIS Kubernetes Benchmark<\/a><\/noindex>.<\/p>\nKube-bench caut\u0103 parametrii de configurare nesiguri printre componentele cluster-ului (etcd, API, controller manager etc.), permisiuni \u00eendoielnice pentru accesul la fi\u0219iere, conturi nesecurizate sau por\u021bi deschise, cote de resurse, set\u0103ri de limitare a num\u0103rului de apeluri API pentru protec\u021bie \u00eempotriva atacurilor DoS etc.<\/p>\n
Kube-hunter<\/h3>\n <\/p>\n
\n Site: github.com\/aquasecurity\/kube-hunter<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\n
O caracteristic\u0103 distinctiv\u0103 a Kube-hunter-ului este modul de \u201ev\u00e2n\u0103toare activ\u0103\u201d, timp \u00een care nu doar semnaleaz\u0103 problemele, ci \u00eencearc\u0103 s\u0103 profite de vulnerabilit\u0103\u021bile descoperite \u00een clusterul \u021bint\u0103, care ar putea d\u0103una func\u021bion\u0103rii sale. A\u0219adar, folosi\u021bi-l cu precau\u021bie!<\/p>\n
Kubeaudit<\/h3>\n <\/p>\n
\n Site: github.com\/Shopify\/kubeaudit<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (MIT)<\/li>\n<\/ul>\n\n
Kubeaudit are \u0219i alte func\u021bionalit\u0103\u021bi interesante. De exemplu, acesta poate analiza fi\u0219ierele YAML locale, identific\u00e2nd deficien\u021bele din configura\u021bie care ar putea conduce la probleme de securitate, \u0219i le poate corecta automat.<\/p>\n
Kubesec<\/h3>\n <\/p>\n
\n Site: kubesec.io<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\n
De exemplu, acesta poate detecta privilegii \u0219i permisiuni excesive acordate pod-ului, lans\u00e2nd un container cu root ca utilizator implicit, conect\u00e2ndu-se la spa\u021biul de nume al re\u021belei gazdei sau mont\u0103ri periculoase precum. \/proc<\/code> host sau socket Docker. O alt\u0103 caracteristic\u0103 interesant\u0103 a Kubesec este serviciul demo online disponibil, \u00een care po\u021bi \u00eenc\u0103rca YAML \u0219i s\u0103-l analizezi imediat.<\/p>\nOpen Policy Agent<\/h3>\n <\/p>\n
\n Site: www.openpolicyagent.org<\/a><\/noindex><\/li>\n Licen\u021b\u0103: liber\u0103 (Apache)<\/li>\n<\/ul>\n\n
De exemplu, po\u021bi desf\u0103\u0219ura OPA ca backend pentru admission controller-ul Kubernetes, deleg\u00e2ndu-i deciziile de securitate. Astfel, agentul OPA va putea verifica, respinge \u0219i chiar modifica cererile \u00een timp real, asigur\u00e2ndu-se c\u0103 sunt respectate parametrii de securitate stabili\u021bi. Politicile de securitate \u00een OPA sunt scrise \u00een propriul s\u0103u limbaj DSL, Rego.<\/p>\n
Nota traduc\u0103torului.<\/b>: Mai multe informa\u021bii despre OPA (\u0219i SPIFFE) am scris \u00een aceast\u00e3 material<\/a><\/noindex>.<\/i><\/p>\nInstrumente comerciale complexe pentru analiza securit\u0103\u021bii Kubernetes<\/h2>\n \nAm decis s\u0103 cre\u0103m o categorie separat\u0103 pentru platforme comerciale, deoarece acestea acoper\u0103, de obicei, mai multe domenii de securitate. O privire general\u0103 asupra capacit\u0103\u021bilor lor poate fi ob\u021binut\u0103 din tabel:<\/p>\n
* Expertiz\u0103 avansat\u0103 \u0219i analiz\u0103 post mortem cu captarea complet\u0103 a apelurilor de sistem Aqua Security<\/a><\/noindex>.<\/i><\/p>\nwww.aquasec.com<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")