Сканеры для поиска уязвимостей безопасности и неправильной конфигурации Kubernetes

Дата: 10.03.2021. Автор: Игорь Б. Категории: Статьи по информационной безопасности
Сканеры для поиска уязвимостей безопасности и неправильной конфигурации Kubernetes

В этой статье приведен список зарубежных сканеров, которые помогут обнаружить уязвимости безопасности и неправильную конфигурацию. Читатели также познакомятся с характерными чертами данных программ.

Kubernetes на данный момент стал одной из лучших платформ для оркестрации контейнеров. Более 80% организаций в мире пользуются его услугами. Kubernetes автоматизирует процесс настройки и управления контейнерами.  

Помимо удобства и простоты использования безопасность также является одним из важных компонентов любого приложения на основе контейнеров. Разработчики должны знать, как обеспечить надежную защиту программам, принадлежащим к группе Kubernetes. За последние несколько лет количество проблем, связанных с безопасностью приложений, росло в геометрической прогрессии. Таким образом, многие компании уделяют огромное внимание вопросам защиты своих продуктов.

В чем заключает принцип работы Kubernetes? Он назначает IP-адрес каждому порту в кластерах и обеспечивает их IP-безопасность. Однако Kubernetes способен обеспечить только базовый уровень защиты. К сожалению, платформа не обладает такими функциями, как расширенный мониторинг системы и соблюдение дополнительных политик безопасности. Стоит отметить, что многие сторонние сканеры с открытым исходным кодом могут помочь пользователю защитить его кластеры Kubernetes.

Вот несколько преимуществ использования сканеров Kubernetes:

  • обнаруживают неправильную конфигурацию и уязвимости в кластере, контейнерах и подах;
  • предоставляют решения для изменения неправильной конфигурации и устранения уязвимостей;
  • уведомляют пользователя о состоянии кластера в режиме реального времени;
  • команда DevOps имеет возможность осуществлять разработку и развертывание приложений в кластере Kubernetes, находясь в полной безопасности;
  • помогают избежать сбоя в работе кластера, обнаруживая проблемы на ранней стадии.

Настала пора взглянуть на инструменты, которые помогут пользователям найти уязвимости в системе безопасности и неверную конфигурацию приложений. Именно эти программы способны обеспечить защиту приложениям на основе контейнеров.

1.     Kube Hunter

Kube Hunter – это инструмент поиска уязвимостей Aqua Security в кластере Kubernetes. Он пригодится для получения дополнительных сведений об уровне безопасности приложения. Этот инструмент предлагает несколько вариантов сканирования, таких как удаленное, чересстрочное, сетевое, на выявление определенных уязвимостей.

Он содержит список активных и пассивных тестов, которые помогут выявить большинство уязвимостей, вероятно присутствующих в кластере Kubernetes.

Сканеры для поиска уязвимостей безопасности и неправильной конфигурации Kubernetes

Есть несколько способов, с помощью которых пользователь может запустить сканер:

  • Можно скачать архив, распаковать его содержимое и использовать файл формата pip для прямой установки Kube Hunter на машину с сетевым доступом к кластеру Kubernetes. После установки человек имеет возможность сразу осуществить сканирование для поиска уязвимостей.
  • Второй способ, как можно запустить Kube Hunter, — это использовать контейнер docker. Пользователь устанавливает Kube Hunter непосредственно на машину, а затем исследует локальные сети для сканирования кластеров.
  • И третий способ – это запустить Kube Hunter в качестве пода внутри своего кластера Kubernetes. Это поможет пользователю найти уязвимости в любых пакетах приложения.

2.     Kube Bench

Kube Bench – это сканер с открытым исходным кодом, который проверяет, соответствует ли развертывание приложения стандартам безопасности CIS (Center for Internet Security).

Он поддерживает бенчмарк-тесты нескольких версий Kubernetes. Кроме того, сканер также указывает на ошибки в работе приложения и помогает их исправить. Он предоставляет решения для исправления имеющихся проблем. Этот инструмент проверяет правильность авторизации и аутентификации пользователя, а также уровень шифрования данных. Это гарантирует, что развертывание приложения соответствует правилам и стандартам CIS.

Сканеры для поиска уязвимостей безопасности и неправильной конфигурации Kubernetes

Особенности Kube Bench:

  • был создан на базе языка Go;
  • способен осуществить сканирование подов и мастер-узлов Kubernetes;
  • доступен в качестве контейнера;
  • легко можно изменить параметры сканирования;
  • полученный результат анализа можно просмотреть в формате JSON.

3.     Checkov

Chekov – это сканер, который используется для поиска и предотвращения неправильной конфигурации облака во время сборки для Kubernetes, Terraform, Cloudformation и других языков инфраструктуры как кода. Он был написан на языке Python с целью повышения уровня безопасности и изменения параметров приложения для его соответствия всем стандартам подобных программ.

Пользователь проводит сканирование с помощью инструмента Chekov для анализа инфраструктуры как кода.

Сканеры для поиска уязвимостей безопасности и неправильной конфигурации Kubernetes

Особенности сканера:

  • прост в использовании, имеет открытый исходный код;
  • более 500 встроенных политик безопасности;
  • помогает соблюдать требования AWS, Azure и Google Cloud;
  • поддерживает несколько форматов вывода полученных данных – CLI, JUnit XML, JSON;
  • можно интегрировать сканирование в CI/CD-пайплайн;
  • проводит сканирование папки, где хранятся файлы Terraform & Cloudformation.

4.     MKIT

MKIT расшифровывается как Managed Kubernetes Inspection Tool. Этот инструмент помогает быстро обнаружить ключевые риски безопасности кластеров Kubernetes и их ресурсов. Он предлагает пользователю простые способы оценки неправильной конфигурации в кластере и рабочих нагрузках.

Инструмент имеет специальный веб-интерфейс, который доступен по адресу «http://localhost:8000» (по умолчанию). В нем человек сможет получить представление о неудачных и уже осуществленных проверках. Более того, пользователь также может узнать об уязвимых и неуязвимых ресурсах.

Сканеры для поиска уязвимостей безопасности и неправильной конфигурации Kubernetes

Особенности MKIT:

  • был создан на основе библиотек и инструментов с открытым исходным кодом;
  • легко устанавливается и прост в использовании;
  • совместим с несколькими поставщиками Kubernetes – AKS, EKS и GKE;
  • хранит конфиденциальные данные внутри контейнера;
  • есть веб-интерфейс.

5.     Kubei

Kubei используется для оценки непосредственных рисков в кластере Kubernetes. Большая часть инструмента написана на языке программирования Go. Он охватывает все бенчмарки CIS Docker.

Инструмент сканирует все изображения, используемые кластером Kubernetes, а также подами приложений и системы. Пользователь имеет возможность провести несколько типов сканирования в зависимости от: уровня уязвимости, скорости или объема сканирования. В графическом интерфейсе пользователь может просмотреть все уязвимости, которые имеются в кластере, а также способы их устранения.

Сканеры для поиска уязвимостей безопасности и неправильной конфигурации Kubernetes

Особенности Kubei:

  • сканер с открытым исходным кодом;
  • проводит сканирование общедоступных изображений, размещенных в реестре пользователя;
  • контролирует состояние кластера в режиме реального времени;
  • есть веб-интерфейс для визуализации результатов сканирования;
  • предоставляет несколько пользовательских опций для проведения различных типов анализа безопасности приложения.

6.     Kube Scan

Kube Scan – это сканер контейнеров, который доступен пользователю сам в виде контейнера. Человек устанавливает его в новый кластер, после чего он может сканировать рабочие нагрузки, которые в данный момент выполняются там. Сканер оценивает уровень безопасности и предоставляет результаты сканирования в удобном веб-интерфейсе. Оценка риска варьируются от 0 до 10, где 0 означает отсутствие риска, а 10 – высокую его степень.

Сканеры для поиска уязвимостей безопасности и неправильной конфигурации Kubernetes

Формула для выставления общей оценки, которая применяется в Kube Scan, была позаимствована у CCSS (Common Configuration Scoring System) Kubernetes. Она похожа на CVSS (Common Vulnerability Scoring System). Учитываются более 30 различных параметров безопасности, таких как политики Kubernetes и уровни привилегий. Кроме этого, сканер создает базовый уровень риска для получения общей картины уровня защиты приложения.

Особенности Kube Scan:

  • инструмент с открытым исходным кодом;
  • есть веб-интерфейс, где пользователь может просмотреть информацию об оценке рисков;
  • доступен в виде контейнера в кластере;
  • можно проводить повторное сканирование кластера каждые 24 часа.

7.     Kubeaudit

Kubeaudit, как следует и из его названия, является инструментом аудита кластера Kubernetes с открытым исходным кодом. Он способен обнаружить неправильные настройки безопасности в ресурсах Kubernetes и сообщить пользователю о том, как их устранить. Программа была написана на языке Go, поэтому можно использовать ее в качестве пакета Go или инструмента командной строки. Пользователь также может установить его на свой компьютер.

Инструмент предлагает различные способы сканирования: с запуском приложения от имени пользователя, с предоставлением доступа только для чтения к корневой файловой системе, без предоставления дополнительных привилегий приложениям в кластере. Все виды сканирования помогают предотвратить общие проблемы безопасности. Kubeaudit имеет обширный список аудиторов, используемых для поиска проблем безопасности кластера Kubernetes, таких как поды SecurityContext.

Сканеры для поиска уязвимостей безопасности и неправильной конфигурации Kubernetes

Особенности сканера:

  • инструмент с открытым исходным кодом;
  • есть три режима сканирования – «манифест», локальный, кластерный;
  • способен выявить ошибки в работе приложения, предотвратить их, дать советы по повышению уровня безопасности;
  • есть несколько встроенных аудиторов для проведения аудита контейнеров, подов, пространств имен.

8.     Kubesec

Kubesec – это сканер рисков безопасности с открытым исходным кодом для ресурсов Kubernetes. Он проверяет конфигурацию и файлы манифеста, используемые для развертывания приложения и осуществления операций кластера Kubernetes. Пользователь может установить его на свой ПК, используя образ контейнера, двоичный пакет, контроллер доступа в Kubernetes или плагин kubectl.

Сканеры для поиска уязвимостей безопасности и неправильной конфигурации Kubernetes

Особенности сканера:

  • инструмент с открытым исходным кодом;
  • идет в комплекте с HTTP-сервером, который по умолчанию работает в фоновом режиме на порту 8080;
  • может сканировать несколько документов YAML одновременно и предоставить результаты сканирования в одном файле.

Автор переведенной статьи: Avi.

Игорь Б

Об авторе Игорь Б

Автор на портале cisoclub.ru. Добавляйте ваш материал на сайт в разделе "Разместить публикацию".
Читать все записи автора Игорь Б

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *