В этой статье приведен список зарубежных сканеров, которые помогут обнаружить уязвимости безопасности и неправильную конфигурацию. Читатели также познакомятся с характерными чертами данных программ.
Kubernetes на данный момент стал одной из лучших платформ для оркестрации контейнеров. Более 80% организаций в мире пользуются его услугами. Kubernetes автоматизирует процесс настройки и управления контейнерами.
Помимо удобства и простоты использования безопасность также является одним из важных компонентов любого приложения на основе контейнеров. Разработчики должны знать, как обеспечить надежную защиту программам, принадлежащим к группе Kubernetes. За последние несколько лет количество проблем, связанных с безопасностью приложений, росло в геометрической прогрессии. Таким образом, многие компании уделяют огромное внимание вопросам защиты своих продуктов.
В чем заключает принцип работы Kubernetes? Он назначает IP-адрес каждому порту в кластерах и обеспечивает их IP-безопасность. Однако Kubernetes способен обеспечить только базовый уровень защиты. К сожалению, платформа не обладает такими функциями, как расширенный мониторинг системы и соблюдение дополнительных политик безопасности. Стоит отметить, что многие сторонние сканеры с открытым исходным кодом могут помочь пользователю защитить его кластеры Kubernetes.
Вот несколько преимуществ использования сканеров Kubernetes:
- обнаруживают неправильную конфигурацию и уязвимости в кластере, контейнерах и подах;
- предоставляют решения для изменения неправильной конфигурации и устранения уязвимостей;
- уведомляют пользователя о состоянии кластера в режиме реального времени;
- команда DevOps имеет возможность осуществлять разработку и развертывание приложений в кластере Kubernetes, находясь в полной безопасности;
- помогают избежать сбоя в работе кластера, обнаруживая проблемы на ранней стадии.
Настала пора взглянуть на инструменты, которые помогут пользователям найти уязвимости в системе безопасности и неверную конфигурацию приложений. Именно эти программы способны обеспечить защиту приложениям на основе контейнеров.
1. Kube Hunter
Kube Hunter – это инструмент поиска уязвимостей Aqua Security в кластере Kubernetes. Он пригодится для получения дополнительных сведений об уровне безопасности приложения. Этот инструмент предлагает несколько вариантов сканирования, таких как удаленное, чересстрочное, сетевое, на выявление определенных уязвимостей.
Он содержит список активных и пассивных тестов, которые помогут выявить большинство уязвимостей, вероятно присутствующих в кластере Kubernetes.
Есть несколько способов, с помощью которых пользователь может запустить сканер:
- Можно скачать архив, распаковать его содержимое и использовать файл формата pip для прямой установки Kube Hunter на машину с сетевым доступом к кластеру Kubernetes. После установки человек имеет возможность сразу осуществить сканирование для поиска уязвимостей.
- Второй способ, как можно запустить Kube Hunter, – это использовать контейнер docker . Пользователь устанавливает Kube Hunter непосредственно на машину, а затем исследует локальные сети для сканирования кластеров.
- И третий способ – это запустить Kube Hunter в качестве пода внутри своего кластера Kubernetes. Это поможет пользователю найти уязвимости в любых пакетах приложения.
2. Kube Bench
Kube Bench – это сканер с открытым исходным кодом, который проверяет, соответствует ли развертывание приложения стандартам безопасности CIS (Center for Internet Security ).
Он поддерживает бенчмарк-тесты нескольких версий Kubernetes. Кроме того, сканер также указывает на ошибки в работе приложения и помогает их исправить. Он предоставляет решения для исправления имеющихся проблем. Этот инструмент проверяет правильность авторизации и аутентификации пользователя, а также уровень шифрования данных. Это гарантирует, что развертывание приложения соответствует правилам и стандартам CIS.
Особенности Kube Bench:
- был создан на базе языка Go;
- способен осуществить сканирование подов и мастер-узлов Kubernetes;
- доступен в качестве контейнера;
- легко можно изменить параметры сканирования;
- полученный результат анализа можно просмотреть в формате JSON.
3. Checkov
Chekov – это сканер, который используется для поиска и предотвращения неправильной конфигурации облака во время сборки для Kubernetes, Terraform, Cloudformation и других языков инфраструктуры как кода. Он был написан на языке Python с целью повышения уровня безопасности и изменения параметров приложения для его соответствия всем стандартам подобных программ.
Пользователь проводит сканирование с помощью инструмента Chekov для анализа инфраструктуры как кода.
Особенности сканера:
- прост в использовании, имеет открытый исходный код;
- более 500 встроенных политик безопасности;
- помогает соблюдать требования AWS, Azure и Google Cloud;
- поддерживает несколько форматов вывода полученных данных – CLI, JUnit XML, JSON;
- можно интегрировать сканирование в CI/CD-пайплайн;
- проводит сканирование папки, где хранятся файлы Terraform & Cloudformation.
4. MKIT
MKIT расшифровывается как Managed Kubernetes Inspection Tool . Этот инструмент помогает быстро обнаружить ключевые риски безопасности кластеров Kubernetes и их ресурсов. Он предлагает пользователю простые способы оценки неправильной конфигурации в кластере и рабочих нагрузках.
Инструмент имеет специальный веб-интерфейс, который доступен по адресу «http://localhost:8000 » (по умолчанию). В нем человек сможет получить представление о неудачных и уже осуществленных проверках. Более того, пользователь также может узнать об уязвимых и неуязвимых ресурсах.
Особенности MKIT:
- был создан на основе библиотек и инструментов с открытым исходным кодом;
- легко устанавливается и прост в использовании;
- совместим с несколькими поставщиками Kubernetes – AKS, EKS и GKE;
- хранит конфиденциальные данные внутри контейнера;
- есть веб-интерфейс.
5. Kubei
Kubei используется для оценки непосредственных рисков в кластере Kubernetes. Большая часть инструмента написана на языке программирования Go. Он охватывает все бенчмарки CIS Docker.
Инструмент сканирует все изображения, используемые кластером Kubernetes, а также подами приложений и системы. Пользователь имеет возможность провести несколько типов сканирования в зависимости от: уровня уязвимости, скорости или объема сканирования. В графическом интерфейсе пользователь может просмотреть все уязвимости, которые имеются в кластере, а также способы их устранения.
Особенности Kubei:
- сканер с открытым исходным кодом;
- проводит сканирование общедоступных изображений, размещенных в реестре пользователя;
- контролирует состояние кластера в режиме реального времени;
- есть веб-интерфейс для визуализации результатов сканирования;
- предоставляет несколько пользовательских опций для проведения различных типов анализа безопасности приложения.
6. Kube Scan
Kube Scan – это сканер контейнеров, который доступен пользователю сам в виде контейнера. Человек устанавливает его в новый кластер, после чего он может сканировать рабочие нагрузки, которые в данный момент выполняются там. Сканер оценивает уровень безопасности и предоставляет результаты сканирования в удобном веб-интерфейсе. Оценка риска варьируются от 0 до 10, где 0 означает отсутствие риска, а 10 – высокую его степень.
Формула для выставления общей оценки, которая применяется в Kube Scan, была позаимствована у CCSS (Common Configuration Scoring System ) Kubernetes. Она похожа на CVSS (Common Vulnerability Scoring System ). Учитываются более 30 различных параметров безопасности, таких как политики Kubernetes и уровни привилегий. Кроме этого, сканер создает базовый уровень риска для получения общей картины уровня защиты приложения.
Особенности Kube Scan:
- инструмент с открытым исходным кодом;
- есть веб-интерфейс, где пользователь может просмотреть информацию об оценке рисков;
- доступен в виде контейнера в кластере;
- можно проводить повторное сканирование кластера каждые 24 часа.
7. Kubeaudit
Kubeaudit , как следует и из его названия, является инструментом аудита кластера Kubernetes с открытым исходным кодом. Он способен обнаружить неправильные настройки безопасности в ресурсах Kubernetes и сообщить пользователю о том, как их устранить. Программа была написана на языке Go, поэтому можно использовать ее в качестве пакета Go или инструмента командной строки. Пользователь также может установить его на свой компьютер.
Инструмент предлагает различные способы сканирования: с запуском приложения от имени пользователя, с предоставлением доступа только для чтения к корневой файловой системе, без предоставления дополнительных привилегий приложениям в кластере. Все виды сканирования помогают предотвратить общие проблемы безопасности. Kubeaudit имеет обширный список аудиторов, используемых для поиска проблем безопасности кластера Kubernetes, таких как поды SecurityContext.
Особенности сканера:
- инструмент с открытым исходным кодом;
- есть три режима сканирования – «манифест», локальный, кластерный;
- способен выявить ошибки в работе приложения, предотвратить их, дать советы по повышению уровня безопасности;
- есть несколько встроенных аудиторов для проведения аудита контейнеров, подов, пространств имен.
8. Kubesec
Kubesec – это сканер рисков безопасности с открытым исходным кодом для ресурсов Kubernetes. Он проверяет конфигурацию и файлы манифеста, используемые для развертывания приложения и осуществления операций кластера Kubernetes. Пользователь может установить его на свой ПК, используя образ контейнера, двоичный пакет, контроллер доступа в Kubernetes или плагин kubectl.
Особенности сканера:
- инструмент с открытым исходным кодом;
- идет в комплекте с HTTP-сервером, который по умолчанию работает в фоновом режиме на порту 8080;
- может сканировать несколько документов YAML одновременно и предоставить результаты сканирования в одном файле.
Автор переведенной статьи: Avi.
ЧИТАТЬ ВСЕ СТАТЬИ НА САЙТЕ | ПОДПИСЫВАЙТЕСЬ НА НАШ TELEGRAM КАНАЛ
