Kubernetes un konteineru drošība

Mākoņa drošības izvērtējums analizē jūsu mākoņpakalpojumu vidi, tostarp identitāšu un piekļuves pārvaldību (IAM), datu glabāšanu un tīkla konfigurāciju, salīdzinot to ar nozares labāko praksi un drošības etaloniem. Kubernetes drošības izvērtējums aptver klastera vadības plakni, RBAC konfigurāciju, podu drošību, izpildlaika aizsardzību, tīkla politikas un konteineru piegādes ķēdes drošību. Būtiskākais ir tas, ka izvērtējums tiek veikts no uzbrucēja skatpunkta. Mēs ne tikai pārbaudām konfigurāciju atbilstību, bet arī praktiski mēģinām veikt privilēģiju eskalāciju un izlaušanos no kompromitēta poda, lai pārliecinātos, ko reāls uzbrucējs spētu sasniegt jūsu vidē.

Jā. Mēs novērtējam pārvaldītos pakalpojumus — Amazon EKS, Azure AKS un Google GKE — kā arī pašpārvaldītus un on-prem klasterus. Pārvaldītām platformām īpaši pārskatām dalītās atbildības robežu: ko nodrošina ražotājs salīdzinājumā ar RBAC, slodžu, tīkla politiku un mezglu konfigurāciju, kas paliek jūsu pārziņā un kur atrodas lielākā daļa izmantojamo vājumu.

Mēs veidojam pamatlīmeni pret CIS Kubernetes etalonu un platformām specifiskajiem CIS ceļvežiem EKS, AKS un GKE, un sasaistām uzbrucēja darbības ar MITRE ATT&CK for Containers. Mēs arī saskaņojam ar NSA/CISA Kubernetes nostiprināšanas vadlīnijām un Pod Security Standards, lai atklājumi sasaistītos gan ar atzītu kontroli, gan ar reālo paņēmienu, ko izmantotu pretinieks.

Nē. Konfigurācijas un RBAC pārskate ir tikai lasāma. Aktīva uzbrukuma ceļu testēšana — privilēģiju eskalācija, konteineru izlaušanās, sāniskā kustība — tiek rūpīgi kontrolēta, noteikta apjomā un plānota, un mēs stingri iesakām to palaist pret staging vai reprezentatīvu neražošanas klasteru, kur iespējams. Kur nepieciešama ražošanas testēšana, izmantojam ražošanai drošus paņēmienus, iepriekš saskaņojam noteikumus un nekavējoties paziņojam par jebkuru kritisku atklājumu.

Jūs saņemat riska vērtētus, ar izmantošanu pierādītus atklājumus, katru sasaistītu ar CIS kontroli, ko tas pārkāpj, un ar MITRE ATT&CK for Containers, ar konkrētām nostiprināšanas vadlīnijām jūsu platformas komandai un kopsavilkumu vadībai. Atkārtota testēšana pēc novēršanas ir pieejama, lai apstiprinātu izpildi, un Enterprise projekti var integrēt pārbaudes jūsu CI/CD konveijerā, lai regresijas tiktu atklātas pirms to piegādes.