Разрыв в среде выполнения, замедляющий работу команд
Контейнеры изменили подход к созданию и поставке современных приложений, обеспечив быстрое развертывание микросервисов, гибкие конвейеры CI/CD, а теперь и высокопроизводительные рабочие нагрузки ИИ. Но по мере масштабирования кластеров в различных средах обнаружение угроз в рабочей среде остается серьезным операционным препятствием.
Статические сканеры уязвимостей и проверка образов до развертывания исследуют артефакты в неактивном состоянии. Они необходимы для раннего выявления ошибок настройки, но не могут остановить активные эксплойты, живые обратные шеллы, повышение привилегий или пути выполнения угроз нулевого дня, разворачивающиеся в памяти узлов.
Подход Wiz начинается с безагентного сканирования, чтобы построить непрерывное полностековое представление вашей среды с помощью Security Graph. Сопоставляя уязвимости с сетевой доступностью, правами доступа к учетным записям и доступом к конфиденциальным данным, Wiz выстраивает критические пути атак и подсвечивает только те риски, которые действительно имеют значение, избавляя от усталости от оповещений еще до того, как будет заведена хоть одна строка кода в среде выполнения.
Но одна лишь оценка состояния защищенности не может остановить активные угрозы. Вам необходима защита среды выполнения. Тем не менее, команды безопасности и платформ исторически оказывались перед лицом разочаровывающих компромиссов:
- Сложности развертывания: Ручная оркестрация сторонних чартов Helm и манифестов на десятках или сотнях кластеров создает постоянное административное бремя.
Сложности развертывания: Ручная оркестрация сторонних чартов Helm и манифестов на десятках или сотнях кластеров создает постоянное административное бремя.
- Распространение учетных данных: Распределение и ротация токенов реестра и ключей API по отдельным пространствам имен создают ненужный риск и накладные расходы на управление.
Распространение учетных данных: Распределение и ротация токенов реестра и ключей API по отдельным пространствам имен создают ненужный риск и накладные расходы на управление.
- Слепые зоны управления: Недавно подготовленные кластеры часто запускаются в работу без защиты среды выполнения еще до того, как команды безопасности осознают их существование.
Слепые зоны управления: Недавно подготовленные кластеры часто запускаются в работу без защиты среды выполнения еще до того, как команды безопасности осознают их существование.
- Опасения по поводу производительности: Руководители платформ беспокоятся, что не учтенные в бюджете накладные расходы агента лишат критически важные для бизнеса рабочие нагрузки процессорного времени и памяти.
Опасения по поводу производительности: Руководители платформ беспокоятся, что не учтенные в бюджете накладные расходы агента лишат критически важные для бизнеса рабочие нагрузки процессорного времени и памяти.
Чтобы устранить эти трения, защита среды выполнения не должна быть второстепенной задачей. Она должна быть встроенной, управляемой платформой и заложенной непосредственно в основу облачных или гибридных сред.
Анонс встроенной защиты среды выполнения Wiz Runtime Protection на GKE
Сегодня Google Cloud и Wiz рады представить предварительную версию (Preview) аддона Wiz Runtime Sensor для Google Kubernetes Engine (GKE).
Доступная напрямую на платформе GKE как для кластеров GKE Standard, так и GKE Autopilot, эта интеграция от первого лица меняет то, как команды развертывают и управляют безопасностью среды выполнения внутри кластера. Вместо ручного управления сторонними агентами GKE автоматически обрабатывает развертывание Wiz Sensor, внедрение учетных данных и обновление жизненного цикла через панель управления (control plane).
Почему эта интеграция делает защиту K8s в среде выполнения проще
- Включение в 1 клик: Активируйте защиту среды выполнения при создании кластера или на существующих кластерах с помощью одного флага gcloud (--addons=WizSensor=ENABLED) или через консоль Google Cloud.
Включение в 1 клик: Активируйте защиту среды выполнения при создании кластера или на существующих кластерах с помощью одного флага gcloud (--addons=WizSensor=ENABLED) или через консоль Google Cloud.
- Нулевое распространение учетных данных: Используя встроенную интеграцию GKE с Secret Manager и Workload Identity Federation, ключи API и токены для скачивания образов хранятся за пределами кластера в защищенных хранилищах. Ротация секретов в Secret Manager автоматически синхронизируется без необходимости перезапуска кластера или повторного развертывания подов.
Нулевое распространение учетных данных: Используя встроенную интеграцию GKE с Secret Manager и Workload Identity Federation, ключи API и токены для скачивания образов хранятся за пределами кластера в защищенных хранилищах. Ротация секретов в Secret Manager автоматически синхронизируется без необходимости перезапуска кластера или повторного развертывания подов.
- Управление на уровне всего парка с помощью Organization Policy: Руководители направления безопасности платформы могут обязать использовать защиту среды выполнения в проектах, папках или целых организациях с помощью пользовательских политик организации Google Cloud (Organization Policy). Попытки создания незащищенных кластеров автоматически блокируются до того, как рабочие нагрузки начнут работать.
Управление на уровне всего парка с помощью Organization Policy: Руководители направления безопасности платформы могут обязать использовать защиту среды выполнения в проектах, папках или целых организациях с помощью пользовательских политик организации Google Cloud (Organization Policy). Попытки создания незащищенных кластеров автоматически блокируются до того, как рабочие нагрузки начнут работать.
- Прогнозируемая наблюдаемость eBPF на уровне ядра: Работая в пространстве ядра с помощью eBPF, сенсор отслеживает системные вызовы, активные процессы и сетевые сокеты с фиксированными лимитами ресурсов на узел, защищая производительность рабочей нагрузки даже при резких скачках трафика.
Прогнозируемая наблюдаемость eBPF на уровне ядра: Работая в пространстве ядра с помощью eBPF, сенсор отслеживает системные вызовы, активные процессы и сетевые сокеты с фиксированными лимитами ресурсов на узел, защищая производительность рабочей нагрузки даже при резких скачках трафика.
- Изолированные обновления безопасности: Правила обнаружения сенсора и определения угроз обновляются независимо от версий патчей кластера GKE, пересоздания пулов узлов или окон обслуживания рабочих нагрузок.
Изолированные обновления безопасности: Правила обнаружения сенсора и определения угроз обновляются независимо от версий патчей кластера GKE, пересоздания пулов узлов или окон обслуживания рабочих нагрузок.
Обнаружение угроз в действии
После активации Wiz Sensor непрерывно отслеживает рискованное поведение в среде выполнения, включая обратные шеллы, выполнение бинарных файлов из каталога /tmp, дрейф образов и попытки повышения привилегий.
Когда происходит инцидент, например, когда контейнер порождает неавторизованную интерактивную оболочку при изменении системных файлов, сенсор мгновенно фиксирует это событие. Через несколько секунд на странице угроз (Threats) в Wiz Portal появляется высокоточное оповещение с указанием точного пода, пространства имен, образа контейнера и контекста выполнения.
Безагентный подход + Сенсор = Идеальное сочетание
Оповещения о событиях среды выполнения сами по себе часто вызывают усталость от предупреждений у команд SOC. Аномалия процесса на изолированном поде разработки не должна нести такую же срочность, как эксплойт на производственном сервисе с доступом к конфиденциальным облачным данным.
Объединяя безагентное сканирование снимков (Agentless Snapshot Scanning) со средой выполнения Sensor для кластеров GKE, Wiz предоставляет мощные возможности в двух измерениях:
Измерение 1: Активные риски
Безагентное сканирование подсказывает, что потенциально может быть подвержено эксплойту. Runtime Sensor сообщает, что происходит на самом деле. Вместе они устраняют ложные срабатывания на трех уровнях:
Уязвимости, активно выполняющиеся в памяти. Примеры: 45 CVE → загружены и запущены только 2 библиотеки.
Сопутствующие факторы риска на той же рабочей нагрузке. Примеры: выполняющаяся CVE + захардкоженный секрет + избыточные права IAM + доступ к конфиденциальным данным.
Поведение живой рабочей нагрузки, которое фиксирует сенсор. Примеры: активный сетевой обмен с конфиденциальным бакетом GCS, неожиданный исходящий IP-адрес, невиданный ранее доступ к учетным данным.
Аспект 2: Полный контекст контейнера
Во-вторых, когда в рабочей нагрузке GKE срабатывает угроза времени выполнения, Wiz не передает вам голое оповещение. Поскольку безагентное сканирование уже сопоставило всю инфраструктуру контейнеров, каждое обнаружение поступает предварительно обогащенным полным радиусом поражения в Kubernetes:
Безопасность на уровне образов, обогащающая оповещение. Примеры: уязвимости, загруженные библиотеки, запущенные процессы, обнаруженные секреты.
Контекст удостоверений и привилегий рабочей нагрузки. Примеры: привилегированное пространство имен, сетевая доступность, удостоверение рабочей нагрузки.
Безопасность на уровне Kubernetes. Примеры: неверные конфигурации KSPM, состояние RBAC, аномалии в журналах аудита.
Радиус поражения на уровне облака. Примеры: разрешения IAM пула узлов, доступность конфиденциальных данных, пути горизонтального перемещения
Аналитик SOC, реагирующий на подозрительный процесс в поде GKE, сразу видит, работает ли этот под в привилегированном пространстве имен, есть ли у его учетной записи службы широкие разрешения в проекте GCP и существует ли прямой путь к конфиденциальным данным, и все это без переключения между инструментами.
Общая картина: комплексная защита контейнеров на протяжении всего жизненного цикла
Датчик GKE в 1 клик обеспечивает защиту во время выполнения как часть единого стека безопасности контейнеров от кода до облака в Google Cloud:
- Начало в CI/CD: сканирование Dockerfile, кода приложений и шаблонов IaC в конвейерах Google Cloud Build с помощью интерфейса командной строки Wiz. Прошедшие проверку образы получают криптографические теги в базе данных доверенных образов Wiz (Trusted Image Database).
Начало в CI/CD: сканирование Dockerfile, кода приложений и шаблонов IaC в конвейерах Google Cloud Build с помощью интерфейса командной строки Wiz. Прошедшие проверку образы получают криптографические теги в базе данных доверенных образов Wiz (Trusted Image Database).
- Видимость и сканирование в Artifact Registry: автоматическое обнаружение и непрерывное сканирование образов Google Artifact Registry (GAR) на предмет недавно выявленных CVE, даже за средствами управления VPC Service Controls.
Видимость и сканирование в Artifact Registry: автоматическое обнаружение и непрерывное сканирование образов Google Artifact Registry (GAR) на предмет недавно выявленных CVE, даже за средствами управления VPC Service Controls.
- Контроль доступа на этапе развертывания: контроллер допуска Wiz Admission Controller перехватывает запросы на развертывание в GKE для проверки подписей образов и принудительного использования неизменяемой привязки по дайджесту, блокируя неверные или уязвимые образы до запуска подов.
Контроль доступа на этапе развертывания: контроллер допуска Wiz Admission Controller перехватывает запросы на развертывание в GKE для проверки подписей образов и принудительного использования неизменяемой привязки по дайджесту, блокируя неверные или уязвимые образы до запуска подов.
- Безопасность и токсичные пути атак: управление безопасностью Kubernetes (KSPM) оценивает кластеры GKE на соответствие стандартам CIS Benchmarks. Граф безопасности Wiz сопоставляет факторы риска, такие как доступный из интернета под GKE, связанный через Workload Identity с учетной записью службы GCP с избыточными разрешениями (roles/storage.admin).
Безопасность и токсичные пути атак: управление безопасностью Kubernetes (KSPM) оценивает кластеры GKE на соответствие стандартам CIS Benchmarks. Граф безопасности Wiz сопоставляет факторы риска, такие как доступный из интернета под GKE, связанный через Workload Identity с учетной записью службы GCP с избыточными разрешениями (roles/storage.admin).
- Журналы аудита плоскости управления и облака: сбор журналов активности администраторов GCP и журналов аудита плоскости управления GKE через GCP Pub/Sub для обнаружения угроз на уровне плоскости управления, таких как несанкционированные команды kubectl exec или неожиданное создание пулов узлов.
Журналы аудита плоскости управления и облака: сбор журналов активности администраторов GCP и журналы аудита плоскости управления GKE через GCP Pub/Sub для обнаружения угроз на уровне плоскости управления, таких как несанкционированные команды kubectl exec или неожиданное создание пулов узлов.
Что дальше
Google Cloud и Wiz совместно стремятся сделать безопасность готовой к использованию для любых форм-факторов вычислений, расширяя развертывание датчиков в 1 клик и управление политиками организации (Organization Policy) на бессерверные рабочие нагрузки в Google Cloud Run и виртуальные машины (GCE), предлагая укрепленные образы WizOS Hardened Images для предварительно установленной безопасности контейнеров и чартов Helm, а также обеспечивая оптимизированную телеметрию для недолговечных высокоплотных ИИ-нагрузок и эфемерных рабочих нагрузок в GKE.
Начните работу сегодня
Безопасность должна способствовать облачным инновациям, а не замедлять их. Интегрируя обнаружение угроз времени выполнения eBPF непосредственно в GKE в качестве управляемого дополнения платформы, Google Cloud и Wiz устранили традиционную сложность развертывания.
Изучите документацию Google Cloud GKE и документацию Wiz (требуется вход в систему), чтобы включить дополнение Wiz Sensor в своих кластерах уже сегодня.
