В эпоху искусственного интеллекта все движется быстрее, и угрозы безопасности — не исключение. То, на что у злоумышленников раньше уходили недели, теперь может произойти всего за несколько минут.

Стандартные сканеры уязвимостей, которые работают со статическими артефактами, могут выявить базовые проблемы конфигурации, но для обнаружения активной атаки необходима защита среды выполнения в реальном времени.

Сегодня мы представляем предварительную версию дополнения Wiz Runtime Sensor для Google Kubernetes Engine (GKE). Эта встроенная интеграция обеспечивает простое развертывание, автоматическое управление жизненным циклом, корпоративную безопасность учетных данных и единое управление парком для ведущего в отрасли средства обнаружения угроз eBPF от Wiz как для кластеров GKE Standard, так и Autopilot.

Операционные трудности безопасности среды выполнения

Команды обеспечения безопасности и платформ разделяют общие дилеммы при развертывании средств защиты среды выполнения внутри кластера:

Трудности развертывания и управления жизненным циклом: развертывание агентов среды выполнения часто требует управления установками из сторонних источников в десятках или сотнях кластеров.

Трудности развертывания и управления жизненным циклом: развертывание агентов среды выполнения часто требует управления установками из сторонних источников в десятках или сотнях кластеров.

Проблема распространения учетных данных и риски безопасности: передача и ротация ключей API в качестве секретов Kubernetes создают административные расходы и риски безопасности.

Проблема распространения учетных данных и риски безопасности: передача и ротация ключей API в качестве секретов Kubernetes создают административные расходы и риски безопасности.

Пробелы в обеспечении соответствия политик для всего парка: у команд платформ отсутствуют встроенные элементы управления политиками для гарантии того, что в каждом новом кластере включены датчики среды выполнения до того, как рабочие нагрузки будут развернуты и начнут получать трафик.

Пробелы в обеспечении соответствия политик для всего парка: у команд платформ отсутствуют встроенные элементы управления политиками для гарантии того, что в каждом новом кластере включены датчики среды выполнения до того, как рабочие нагрузки будут развернуты и начнут получать трафик.

Производительность и операционные издержки: без четких и стратегических лимитов ресурсов агенты среды выполнения могут влиять на объем доступных ЦП и памяти для ваших рабочих нагрузок и функционала системы.

Производительность и операционные издержки: без четких и стратегических лимитов ресурсов агенты среды выполнения могут влиять на объем доступных ЦП и памяти для ваших рабочих нагрузок и функционала системы.

Благодаря Wiz Runtime Sensor для GKE компании Google Cloud и Wiz свели к минимуму эти операционные барьеры. Теперь датчик среды выполнения доступен в GKE в качестве собственного управляемого дополнения платформы.

Устранение пробелов с помощью Wiz Runtime Sensor для GKE

Wiz Runtime Sensor для GKE объединяет рабочие процессы централизованной безопасности и платформенной инженерии путем упрощения и автоматизации жизненного цикла датчика.

Рисунок 1: Архитектура высокого уровня, показывающая синхронизацию учетных данных, развертывание датчиков и телеметрию угроз.

С помощью этого дополнения GKE управляет развертыванием датчиков, внедрением учетных данных и обновлениями жизненного цикла. Внедрение защиты среды выполнения непосредственно в платформу снижает административные расходы и предоставляет следующие преимущества для вашего парка Kubernetes:

Встроенная интеграция с Secret Manager: командам безопасности больше не нужно распространять ключи API Wiz по пространствам имен кластера. Дополнение использует интеграцию синхронизации секретов Secret Manager в GKE для хранения ваших учетных данных Wiz в централизованном хранилище вне кластера, к которому имеет доступ только выделенная учетная запись службы.

GKE автоматически извлекает учетные данные и внедряет их непосредственно в модули датчика среды выполнения. Обновление ключа в Secret Manager автоматически синхронизируется с датчиком без необходимости перезапуска кластера или ручного вмешательства.

Упрощенное включение: после добавления учетных данных Wiz в Secret Manager операторы платформы могут включить дополнение Wiz Runtime Sensor с помощью интерфейса командной строки gcloud или API GKE. Плоскость управления GKE обрабатывает развертывание компонентов датчика, управление жизненным циклом модулей и настройку узлов.
Безопасный исходящий трафик и поддержка прокси: для сред, ограничивающих доступ к общедоступному интернету, управляемый датчик поддерживает стандартные конфигурации HTTP- и mTLS-прокси. Телеметрия передается обратно в Wiz без нарушения ваших политик брандмауэра исходящего трафика.
Управление парком с помощью политик организации: руководители службы безопасности платформы могут обеспечивать соблюдение требований во всей организации с помощью пользовательских ограничений политик организации. Вы можете использовать ограничение для отклонения любых попыток создать кластер, в котором не включено дополнение Wiz Runtime Sensor, что может помешать злоумышленникам развертывать несанкционированную инфраструктуру для обхода обнаружения среды выполнения.
Наблюдаемость на уровне ядра с минимальными издержками: Wiz Runtime Sensor непрерывно отслеживает системные вызовы, запущенные процессы, сетевые соединения и доступ к файлам. Он обнаруживает подозрительную активность, включая обратные оболочки (reverse shells), несанкционированное повышение привилегий, побег из контейнеров и небезопасные исходящие соединения, сохраняя при этом низкое использование ЦП даже при высокой нагрузке. Датчик использует фиксированный лимит памяти на каждом узле для обеспечения стабильной производительности при изменении плотности рабочих нагрузок. Это особенно ценно для рабочих нагрузок искусственного интеллекта и веб-сервисов, где активность приложений может быстро меняться.
Независимые автообновления: угрозы безопасности и уязвимости нулевого дня не ждут запланированных окон технического обслуживания инфраструктуры. Жизненный цикл дополнения датчика Wiz для GKE не зависит от жизненного цикла вашего кластера GKE и узлов. Датчик периодически развертывает обновления новых версий, публикуемых Wiz, помогая гарантировать, что ваши кластеры всегда имеют последние правила обнаружения без необходимости изменения версий GKE, воссоздания пулов узлов или нарушения работы рабочих нагрузок.

Как это работает: развертывание и принудительное применение датчика

Включение дополнения датчика Wiz следует тому же процессу, с которым администраторы платформ уже знакомы в GKE. С помощью стандартных команд gcloud вы можете активировать защиту среды выполнения во время создания кластера, включить ее для существующих кластеров и обеспечить ее применение во всем парке, сохраняя при этом безопасное управление учетными данными в Secret Manager.

Ознакомьтесь с документацией по настройке для получения информации о предварительных требованиях, таких как предоставление GKE доступа к Secret Manager.

Подготовка кластера с дополнением Wiz Sensor

Чтобы подготовить новый кластер GKE с включенным управляемым датчиком Wiz, используя учетные данные, хранящиеся в Secret Manager:

Чтобы включить датчик на существующем работающем кластере с включенной федерацией удостоверений рабочей нагрузки для GKE и синхронизацией секретов Secret Manager, выполните следующее:

Обеспечение защиты всего парка с помощью политики организации

Вы можете потребовать, чтобы во всех новых кластерах GKE в вашей организации был установлен датчик среды выполнения, развернув пользовательское ограничение:

Интеллектуальная корреляция угроз для безопасности ИИ

Истинная сила этой интеграции проявляется, когда управляемый датчик подключается к более широкой платформе Wiz AI Application Protection Platform (AI-APP). Передавая телеметрию среды выполнения GKE в Wiz Security Graph, вы получаете набор инструментов безопасности, который выходит за рамки статических оповещений, включая:

Оценка рисков и проверка угроз в режиме реального времени: объединяя фоновое сканирование безопасности с мониторингом активности в реальном времени, вы получаете четкое представление о реальных рисках. Сенсор проверяет, выполняется ли уязвимый код в памяти, поэтому вы можете сосредоточиться на активных угрозах безопасности и игнорировать неактивные.
Обнаружение угроз и реагирование в режиме реального времени: выявляйте подозрительную активность, такую как вредоносное ПО, попытки несанкционированного доступа и уязвимости программного обеспечения в режиме реального времени. Команды безопасности могут настраивать правила для автоматической блокировки или остановки угроз до того, как они распространятся.
Сетевая активность и подробная аналитика безопасности: отслеживайте системную активность, сетевые подключения и потоки данных, чтобы выявить скрытые риски и несанкционированное использование программного обеспечения. Если угроза обнаружена, сенсор автоматически собирает диагностические данные, чтобы помочь командам быстро расследовать произошедшее.

В совокупности эти возможности гарантируют, что критически важные приложения и агенты ИИ, развернутые в GKE, отслеживаются на предмет атак и утечки данных без ущерба для скорости разработки.

Начните сегодня

Надстройка Wiz Runtime Sensor для GKE устанавливает стандарт безопасности контейнеров: глубокая защита на уровне ядра eBPF без эксплуатационной сложности или проблем при развертывании.

Объединяя автоматизацию управляемой платформы GKE с комплексной аналитикой безопасности Wiz, платформенные команды и команды безопасности могут внедрять инновации со скоростью облака, сохраняя при этом надежную защиту во время выполнения. Ознакомьтесь с документацией Wiz Sensor для GKE, чтобы узнать больше.