Решение Dynatrace Kubernetes Security Posture Management (KSPM) теперь включает функцию Kubernetes Security Essentials: профиль, включенный по умолчанию, который проверяет поддерживаемые мониторинговые кластеры на наличие распространенных ошибок конфигурации безопасности без необходимости установки дополнительного сборщика на уровне узлов. Он предоставляет командам единую базовую линию безопасности для поддерживаемых дистрибутивов и версий Kubernetes, а результаты проверок связаны с данными наблюдаемости Kubernetes для помощи в приоритизации действий.
В поддерживаемых дистрибутивах и версиях (включая Google GKE, Red Hat OpenShift, K3s и MicroK8s) команды получают единую базовую линию безопасности с непрерывно обновляемыми результатами проверки состояния для поддержки проверок безопасности и соответствия требованиям. Результаты связаны с данными наблюдаемости Kubernetes для помощи в приоритизации действий, в то время как специфичные для дистрибутивов профили бенчмарков могут расширять эту базовую линию более глубокими оценками там, где это доступно.
Почему средам Kubernetes нужна единая базовая линия безопасности
Аудиторы и руководители отделов безопасности хотят получить подтверждение того, что каждый кластер Kubernetes, управляемый платформенной командой, настроен безопасно. Стандарты и нормативы, такие как CIS Kubernetes Benchmark, PCI DSS и DORA, ориентируются на непрерывно обновляемые результаты оценки состояния, которые поддерживают проверки безопасности, соответствующие лучшим практикам усиления защиты, а не на статический снимок в определенный момент времени из ручной проверки.
На практике инфраструктура Kubernetes более фрагментирована, чем предполагают эти фреймворки. Организации запускают Kubernetes в управляемых сервисах гиперскейлеров, на корпоративных платформах, таких как OpenShift, и на легковесных дистрибутивах, таких как K3s и MicroK8s на периферии. Каждый дистрибутив поставляется со своими настройками по умолчанию и во многих случаях со своим собственным бенчмарком, и эти бенчмарки приходится внедрять по очереди.
При столь разнородной инфраструктуре командам безопасности необходим единый стандарт состояния для всех своих кластеров. Специфичные для дистрибутивов профили бенчмарков KSPM уже охватывают такие платформы, как Amazon EKS, Microsoft AKS и стандартный Kubernetes. Функция Kubernetes Security Essentials распространяет эту оценку на все остальные кластеры, включая GKE, OpenShift, K3s и MicroK8s, поэтому команды безопасности получают согласованные результаты оценки состояния для поддержки проверок безопасности своих развертываний Kubernetes в целом.
Что проверяет Kubernetes Security Essentials?
Kubernetes Security Essentials — это профиль в KSPM, который объединяет проверки безопасности, имеющие значение для любого кластера, независимо от того, кто управляет плоскостью управления. Проверки оцениваются исключительно на основе объектов API Kubernetes, которые Dynatrace уже собирает, таких как:
- Спецификации рабочих нагрузок
- Привязки RBAC
- Сервисные аккаунты
- Пространства имен
- Стеевые политики
Специфичные для дистрибутивов проверки по бенчмаркам, напротив, часто считывают файлы конфигурации узлов, что требует дополнительного сборщика на уровне каждого узла. Проверки Essentials этого не делают, поэтому нет необходимости развертывать дополнительные компоненты: профиль включен по умолчанию для мониторимого кластера, и результаты появляются в приложении Kubernetes Security Posture Management сразу после подключения кластера.
Профиль фокусируется на лучших практиках, которые применимы к разным дистрибутивам и версиям Kubernetes, например:
- Усиление безопасности рабочих нагрузок: контейнеры, запущенные от имени root, привилегированные контейнеры, эскалация привилегий и неограниченный доступ к хосту, такой как hostPath, hostNetwork или hostPID.
- Идентификация и доступ: избыточные роли и привязки RBAC, подстановочные знаки разрешений, предоставление прав cluster-admin и автоматическое монтирование токенов сервисных аккаунтов по умолчанию.
- Изоляция и доступность: пространства имен без сетевых политик, рабочие нагрузки, подверженные воздействию через неограниченные типы сервисов, и отсутствие лимитов ресурсов, которые могут привести к проблемам шумных соседей и отказу в обслуживании.
- Гигиена конфигураций: использование устаревших или неподдерживаемых версий API, небезопасные политики получения образов и секреты, подверженные воздействию через переменные окружения.
Как Dynatrace контекстуализирует результаты оценки состояния Kubernetes?
Dynatrace хранит результаты оценки состояния вместе с данными наблюдаемости Kubernetes в Grail и связывает поддерживаемые сущности с помощью топологии Smartscape. Команды могут исследовать результаты в контексте затронутой рабочей нагрузки, пространства имен и кластера.
Например, когда проверка отмечает привилегированный контейнер, команда может определить затронутую рабочую нагрузку и использовать ее контекст наблюдаемости для исследования поддерживаемых ею служб. Это помогает команде оценить операционное воздействие и спланировать изменение конфигурации.
Каждый результат идентифицирует затронутый ресурс и объясняет суть проверки. Dynatrace Assist может генерировать рекомендации по устранению по запросу, в то время как DQL и Workflows позволяют командам запрашивать результаты, отслеживать тенденции состояния и направлять проблемы командам, ответственным за их устранение.
Что дальше
Kubernetes Security Essentials предоставляет общую базовую линию, которую могут расширять профили, специфичные для дистрибутивов. Мы также оцениваем дополнительные профили бенчмарков для конкретных дистрибутивов, чтобы клиенты, которым требуется полное покрытие CIS Benchmark на таких платформах, как GKE и OpenShift, могли наслоить более глубокую оценку на уровне узлов поверх общих проверок.
Мы также работаем над более широким сопоставлением фреймворков соответствия, более детальной приоритизацией на основе среды выполнения и доступных уязвимостей, а также дополнительными шаблонами автоматизации.
Начало работы
Kubernetes Security Essentials доступна клиентам Dynatrace, использующим Kubernetes Security Posture Management. Чтобы попробовать ее:
- Подключите кластеры Kubernetes к Dynatrace, следуя документации по настройке мониторинга Kubernetes.
- Откройте приложение Kubernetes Security Posture Management. Профиль Kubernetes Security Essentials уже включен для ваших мониторимых кластеров.
- Просмотрите первые результаты, расставьте приоритеты по затронутым рабочим нагрузкам и автоматизируйте устранение с помощью Dynatrace Workflows.
Еще не клиент Dynatrace? Начните бесплатную пробную версию, чтобы изучить Kubernetes Security Posture Management.
Вы также можете присоединиться к сообществу Dynatrace Community, чтобы поделиться отзывами о том, какие проверки вы хотели бы видеть добавленными в следующий раз.
Dynatrace, Grail и Smartscape являются товарными знаками группы компаний Dynatrace, Inc. Все остальные товарные знаки являются собственностью их соответствующих владельцев
Dynatrace, Grail и Smartscape являются товарными знаками группы компаний Dynatrace, Inc. Все остальные товарные знаки являются собственностью их соответствующих владельцев
