{"id":32641,"date":"2019-10-31T21:48:11","date_gmt":"2019-10-31T18:48:11","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vvedenie-v-setevye-politiki-kubernetes-dlya-spetsialistov-po-bezopasnosti\/"},"modified":"2019-10-31T21:48:11","modified_gmt":"2019-10-31T18:48:11","slug":"vvedenie-v-setevye-politiki-kubernetes-dlya-spetsialistov-po-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/vvedenie-v-setevye-politiki-kubernetes-dlya-spetsialistov-po-bezopasnosti","title":{"rendered":"Introduktion till Kubernetes n\u00e4tverkspolicyer f\u00f6r s\u00e4kerhetsspecialister","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Introduktion
\n
\nObs. \u00f6vers.<\/b>: Artikelns f\u00f6rfattare \u2014 Reuven Harrison \u2014 har \u00f6ver 20 \u00e5rs erfarenhet inom mjukvaruutveckling och \u00e4r f\u00f6r n\u00e4rvarande teknisk direkt\u00f6r samt medgrundare av f\u00f6retaget Tufin, som skapar l\u00f6sningar f\u00f6r hantering av s\u00e4kerhetspolicyer. N\u00e4r han ser p\u00e5 Kubernetes n\u00e4tverkspolicyer som ett kraftfullt verktyg f\u00f6r n\u00e4tverkssegmentering inom kluster, anser han samtidigt att de inte \u00e4r s\u00e5 l\u00e4tta att till\u00e4mpa i praktiken. Denna material (relativt omfattande) syftar till att \u00f6ka medvetenheten bland specialister om detta \u00e4mne och hj\u00e4lpa dem att skapa n\u00f6dv\u00e4ndiga konfigurationer.<\/i><\/a><\/noindex><\/p>\n

Idag v\u00e4ljer allt fler f\u00f6retag Kubernetes f\u00f6r att k\u00f6ra sina applikationer. Intresset f\u00f6r denna programvara \u00e4r s\u00e5 h\u00f6gt att vissa kallar Kubernetes f\u00f6r \"det nya operativsystemet f\u00f6r datacenter\". Gradvis b\u00f6rjar Kubernetes (eller k8s) uppfattas som en kritiskt viktig del av verksamheten, vilket kr\u00e4ver organisation av mogna aff\u00e4rsprocesser, inklusive s\u00e4kerst\u00e4llande av n\u00e4tverkss\u00e4kerhet.<\/p>\n

F\u00f6r s\u00e4kerhetsspecialister som har blivit f\u00f6rvirrade av att arbeta med Kubernetes kan plattformens standardpolicy vara en riktig \u00f6gon\u00f6ppnare: att till\u00e5ta allt.<\/p>\n

Denna handbok hj\u00e4lper till att f\u00f6rst\u00e5 hur n\u00e4tverkspolicyer fungerar; att inse hur de skiljer sig fr\u00e5n regler f\u00f6r vanliga brandv\u00e4ggar. Det kommer ocks\u00e5 att diskuteras n\u00e5gra fallgropar och ges rekommendationer som kan hj\u00e4lpa till att skydda applikationer i Kubernetes.<\/p>\n

Kubernetes n\u00e4tverkspolicyer<\/h2>\n

\nN\u00e4tverkspolicymekanismen i Kubernetes till\u00e5ter hantering av interaktionen mellan de applikationer som k\u00f6rs p\u00e5 plattformen p\u00e5 n\u00e4tverksniv\u00e5 (det tredje i OSI-modellen). N\u00e4tverkspolicyer saknar vissa avancerade funktioner hos moderna brandv\u00e4ggar, som kontroll p\u00e5 7:e niv\u00e5n i OSI och hotdetektion, men de erbjuder en grundl\u00e4ggande niv\u00e5 av n\u00e4tverkss\u00e4kerhet som \u00e4r en bra utg\u00e5ngspunkt.<\/p>\n

N\u00e4tverkspolicyer kontrollerar kommunikationen mellan poddar.<\/h2>\n

\nArbetsbelastningar i Kubernetes distribueras \u00f6ver poddar, som best\u00e5r av en eller flera containrar som k\u00f6rs tillsammans. Kubernetes tilldelar varje pod en IP-adress som \u00e4r tillg\u00e4nglig fr\u00e5n andra poddar. Kubernetes n\u00e4tverkspolicyer definierar \u00e5tkomst r\u00e4ttigheter f\u00f6r grupper av poddar p\u00e5 samma s\u00e4tt som s\u00e4kerhetsgrupper i molnet anv\u00e4nds f\u00f6r att hantera \u00e5tkomst till virtuella maskiner.<\/p>\n

Definition av n\u00e4tverkspolicys<\/h2>\n

\nPrecis som andra resurser i Kubernetes definieras n\u00e4tverkspolicys p\u00e5 YAML-spr\u00e5ket. I f\u00f6ljande exempel f\u00e5r applikationen balance<\/code> \u00e5tkomst till postgres<\/code>:<\/p>\n

apiVersion: networking.k8s.io\/v1\nkind: NetworkPolicy\nmetadata:\n  name: default.postgres\n  namespace: default\nspec:\n  podSelector:\n    matchLabels:\n      app: postgres\n  ingress:\n  - from:\n    - podSelector:\n        matchLabels:\n          app: balance\n  policyTypes:\n  - Ingress<\/code><\/pre>\n
\n\"Introduktion
\n
\n(Obs. \u00f6vers.<\/b>: denna sk\u00e4rmdump, liksom alla f\u00f6ljande liknande, skapades inte med native Kubernetes-verktyg utan med hj\u00e4lp av verktyget Tufin Orca, vars utveckling st\u00f6ds av f\u00f6rfattaren till den ursprungliga artikeln och som n\u00e4mns i slutet av materialet.<\/i><\/p>\n
F\u00f6r att definiera en egen n\u00e4tverkspolicy kr\u00e4vs grundl\u00e4ggande kunskaper i YAML. Detta spr\u00e5k baseras p\u00e5 indrag (definierade med mellanslag och inte tabb). Ett element med indrag tillh\u00f6r det n\u00e4rmaste elementet med indrag ovanf\u00f6r det. Nya listobjekt b\u00f6rjar med ett bindestreck, alla andra element har formatet nyckel-v\u00e4rde<\/i>.<\/p>\n
N\u00e4r policyn har definierats i YAML, anv\u00e4nd kubectl<\/a><\/noindex>, f\u00f6r att skapa den i klustret:<\/p>\n
kubectl create -f policy.yaml<\/code><\/pre>\n
<\/p>\n
Specifikation av n\u00e4tverkspolicy<\/h2>\n
\nSpecifikationen av n\u00e4tverkspolicyn i Kubernetes inneh\u00e5ller fyra element:<\/p>\n
    \n
  1.  podSelector<\/code>: definierar de poddar som p\u00e5verkas av denna policy (m\u00e5l) \u2014 obligatoriskt;<\/li>\n
  2.  policyTypes<\/code>: anger vilka typer av policys som ing\u00e5r: ingress och\/eller egress - valfritt, men jag rekommenderar att det uttryckligen anges i alla fall;<\/li>\n
  3.  ingress<\/code>: definierar till\u00e5ten ing\u00e5ende<\/b> trafik till m\u00e5l-poddar \u2014 valfritt;<\/li>\n
  4.  egress<\/code>: definierar till\u00e5ten utg\u00e5ende<\/b> trafik fr\u00e5n m\u00e5l-poddar \u2014 valfritt.<\/li>\n<\/ol>\n
    \nExemplet som \u00e4r l\u00e5nat fr\u00e5n Kubernetes webbplats (jag har ersatt role<\/code> till app<\/code>), visar hur alla fyra element anv\u00e4nds:<\/p>\n
    apiVersion: networking.k8s.io\/v1\nkind: NetworkPolicy\nmetadata:\n  name: test-network-policy\n  namespace: default\nspec:\n  podSelector:    # <<<\n    matchLabels:\n      app: db\n  policyTypes:    # <<<\n  - Ingress\n  - Egress\n  ingress:        # <<<\n  - from:\n    - ipBlock:\n        cidr: 172.17.0.0\/16\n        except:\n        - 172.17.1.0\/24\n    - namespaceSelector:\n        matchLabels:\n          project: myproject\n    - podSelector:\n        matchLabels:\n          role: frontend\n    ports:\n    - protocol: TCP\n      port: 6379\n  egress:         # <<<\n  - to:\n    - ipBlock:\n        cidr: 10.0.0.0\/24\n    ports:\n    - protocol: TCP\n      port: 5978<\/code><\/pre>\n
    \n\"Introduktion
    \n\"Introduktion
    \n
    \nObservera att det inte \u00e4r n\u00f6dv\u00e4ndigt att inkludera alla fyra elementen. Endast podSelector<\/code>, de andra parametrarna kan anv\u00e4ndas efter behov.<\/p>\n
    Om man utel\u00e4mnar policyTypes<\/code>, kommer policyn att tolkas som f\u00f6ljer:<\/p>\n