\nF\u00f6r att underl\u00e4tta navigationen i listan har verktygen delats upp efter huvudfunktioner och till\u00e4mpningsomr\u00e5den. Det blev f\u00f6ljande avsnitt:<\/p>\n
\n Scanning av Kubernetes-bilder och statisk analys;<\/li>\n Runtime-s\u00e4kerhet;<\/li>\n N\u00e4tverkss\u00e4kerhet f\u00f6r Kubernetes;<\/li>\n Distribution av bilder och hantering av hemligheter;<\/li>\n S\u00e4kerhetsrevision f\u00f6r Kubernetes;<\/li>\n Komplexa kommersiella produkter.<\/li>\n<\/ul>\n\nL\u00e5t oss g\u00e5 till saken:<\/p>\n
Scanning av Kubernetes-bilder<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Webbplats: anchore.com<\/a><\/noindex><\/li>\n Licens: fri (Apache) och kommersiellt erbjudande<\/li>\n<\/ul>\n\n
F\u00f6rutom den vanliga scanning av containerbilder f\u00f6r k\u00e4nda s\u00e5rbarheter fr\u00e5n CVE-databasen, genomf\u00f6r Anchore m\u00e5nga ytterligare kontroller inom ramen f\u00f6r scanningspolicyn: kontrollerar Dockerfile, l\u00e4ckage av autentiseringsuppgifter, paket av anv\u00e4nda programmeringsspr\u00e5k (npm, maven osv.), programvarulicenser och mycket mer.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Webbplats: coreos.com\/claire<\/a><\/noindex> (nu under Red Hats f\u00f6rvaltning)<\/i><\/li>\n Licens: fri (Apache)<\/li>\n<\/ul>\n\n(ocks\u00e5 fr\u00e5n CoreOS \u2014 anm. \u00f6vers.<\/b>)<\/i>. Clair kan samla information om CVE fr\u00e5n ett stort antal k\u00e4llor, inklusive specifika s\u00e5rbarhetslistor f\u00f6r Linux-distributioner som hanteras av s\u00e4kerhetsteam fr\u00e5n Debian, Red Hat eller Ubuntu.<\/p>\n
Till skillnad fr\u00e5n Anchore fokuserar Clair fr\u00e4mst p\u00e5 att s\u00f6ka efter s\u00e5rbarheter och matcha data med CVE. Produkten erbjuder dock anv\u00e4ndare vissa m\u00f6jligheter att ut\u00f6ka funktionalitet med hj\u00e4lp av plugins.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Webbplats: github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Licens: fri (Apache)<\/li>\n<\/ul>\n\n
Tv\u00e5 anm\u00e4rkningsv\u00e4rda egenskaper s\u00e4rskiljer paketet Dagda fr\u00e5n andra liknande verktyg:<\/p>\n
\n Den integreras utm\u00e4rkt med ClamAV<\/a><\/noindex>, fungerar inte bara som ett verktyg f\u00f6r att skanna containerbilder, utan ocks\u00e5 som antivirus.<\/li>\n Ger ocks\u00e5 runtime-skydd genom att realtidsh\u00e4mta h\u00e4ndelser fr\u00e5n Docker-demonen och integrera med Falco (se nedan)<\/i> f\u00f6r att samla s\u00e4kerhetsh\u00e4ndelser under containerdrift.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Webbplats: github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Licens: fri (Apache), men kr\u00e4ver data fr\u00e5n JFrog Xray (en kommersiell produkt)<\/li>\n<\/ul>\n\n
KubeXray utf\u00f6r inte bara granskning av nya eller uppdaterade containrar i deployment (p\u00e5 samma s\u00e4tt som admission controller i Kubernetes), utan kontrollerar ocks\u00e5 dynamiskt de k\u00f6rande containrarna mot nya s\u00e4kerhetspolicyer, och tar bort resurser som h\u00e4nvisar till s\u00e5rbara bilder.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Webbplats: snyk.io<\/a><\/noindex><\/li>\n Licens: fri (Apache) och kommersiella versioner<\/li>\n<\/ul>\n\n
Snyk kopplar direkt till kodf\u00f6rr\u00e5d, parserar projektets manifest och analyserar importerad kod tillsammans med direkta och indirekta beroenden. Snyk st\u00f6der m\u00e5nga popul\u00e4ra programmeringsspr\u00e5k och kan uppt\u00e4cka dolda licensrisker.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Webbplats: github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Licens: fri (AGPL)<\/li>\n<\/ul>\n\n
Nackdelen med Trivys enkelhet \u00e4r att man m\u00e5ste f\u00f6rst\u00e5 hur man parserar och vidarebefordrar resultaten i JSON-format, s\u00e5 att andra s\u00e4kerhetsverktyg f\u00f6r Kubernetes kan anv\u00e4nda dem.<\/p>\n
Runtime-s\u00e4kerhet i Kubernetes<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Webbplats: falco.org<\/a><\/noindex><\/li>\n Licens: fri (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nGenom att anv\u00e4nda Sysdigs verktyg f\u00f6r arbete p\u00e5 Linux-k\u00e4rnniv\u00e5 och profilering av systemanrop, g\u00f6r Falco en djupdykning i systemets beteende. Dess runtime-regelmekanism kan uppt\u00e4cka misst\u00e4nkt aktivitet i applikationer, containrar, v\u00e4rdsystem och Kubernetes-orchestrat\u00f6rer.<\/p>\n
Falco ger fullst\u00e4ndig insyn i runtime-arbetet och hotdetektering genom att placera s\u00e4rskilda agenter p\u00e5 Kubernetes-noder. Detta eliminerar behovet av att modifiera containrar genom att integrera tredjeparts kod eller anv\u00e4nda sidecar-containrar.<\/p>\n
Linux-s\u00e4kerhetsramverk f\u00f6r runtime<\/h3>\n \n
AppArmor<\/a><\/noindex> kopplar en s\u00e4kerhetsprofil till processer som k\u00f6rs i containern, definierar filsystembeh\u00f6righeter, regler f\u00f6r n\u00e4tverks\u00e5tkomst, bibliotekskopplingar etc. Det \u00e4r ett system baserat p\u00e5 mandatbaserad \u00e5tkomstkontroll (Mandatory Access Control, MAC). Med andra ord f\u00f6rhindrar det utf\u00f6rande av f\u00f6rbjudna \u00e5tg\u00e4rder.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) \u2014 \u00e4r en modul f\u00f6r ut\u00f6kad s\u00e4kerhet i Linux-k\u00e4rnan, som i vissa avseenden liknar AppArmor och ofta j\u00e4mf\u00f6rs med det. SELinux \u00f6vertr\u00e4ffar AppArmor i kraft, flexibilitet och detaljniv\u00e5 av konfigurationer. Dess nackdelar \u00e4r l\u00e5ng inl\u00e4rningstid och \u00f6kad komplexitet.<\/p>\nSeccomp<\/a><\/noindex> och seccomp-bpf m\u00f6jligg\u00f6r filtrering av systemanrop, blockera utf\u00f6randet av s\u00e5dana som potentiellt kan vara farliga f\u00f6r den underliggande OS och inte \u00e4r n\u00f6dv\u00e4ndiga f\u00f6r normal drift av anv\u00e4ndarapplikationer. Seccomp liknar p\u00e5 vissa s\u00e4tt Falco, men k\u00e4nner inte till specifikationerna f\u00f6r containrar.<\/p>\nSysdig \u00f6ppen k\u00e4llkod<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")