Kubernetes un konteineru drošība

Mākoņvides drošības stāvokļa pārskatē izvērtē pakalpojumu sniedzēja līmeņa konfigurāciju, piemēram, IAM, datu glabāšanu un tīklu. Kubernetes novērtējums aptver klastera vadības plakni, RBAC, slodžu drošību, tīkla politikas, mezglus un konteineru piegādes ķēdi. Ja tas ir autorizēts, kontrolēta uzbrukuma ceļu testēšana var pārbaudīt, vai kompromitēta slodze ļautu paaugstināt privilēģijas, pārvietoties sāniski vai piekļūt resursiem ārpus paredzētajām robežām.

Jā. Izvērtējam Amazon EKS, Azure AKS un Google GKE, kā arī pašpārvaldītus un lokāli izvietotus klasterus. Pārvaldītiem pakalpojumiem pārskatē nošķiram pakalpojumu sniedzēja atbildību no RBAC, slodzēm, tīkla politikām, mezglu konfigurācijas un integrācijām, kas paliek klienta pārziņā.

Mēs veidojam pamatlīmeni pret CIS Kubernetes etalonu un platformām specifiskajiem CIS ceļvežiem EKS, AKS un GKE, un sasaistām uzbrucēja darbības ar MITRE ATT&CK for Containers. Mēs arī saskaņojam ar NSA/CISA Kubernetes nostiprināšanas vadlīnijām un Pod Security Standards, lai konstatējumi sasaistītos gan ar atzītu kontroli, gan ar reālo paņēmienu, ko izmantotu pretinieks.

Konfigurācijas un RBAC pārskate parasti notiek tikai lasīšanas režīmā un rada nelielu ietekmi. Aktīva uzbrukuma ceļu testēšana rada kontrolētu operacionālo risku, tādēļ tā tiek skaidri iekļauta tvērumā, ieplānota un pakļauta apturēšanas nosacījumiem. Ja iespējams, priekšroka dodama reprezentatīvam neprodukcijas klasterim; produkcijas testā izmanto saskaņotus drošības ierobežojumus un tūlītēju eskalāciju kritisku konstatējumu gadījumā.

Jūs saņemat riska vērtētus, ar izmantošanu pierādītus konstatējumus, katru sasaistītu ar CIS kontroli, ko tas pārkāpj, un ar MITRE ATT&CK for Containers, ar konkrētām nostiprināšanas vadlīnijām jūsu platformas komandai un kopsavilkumu vadībai. Atkārtota testēšana pēc novēršanas ir pieejama, lai apstiprinātu izpildi, un Enterprise projekti var integrēt pārbaudes jūsu CI/CD konveijerā, lai regresijas tiktu atklātas pirms to piegādes.