Was ist Kubernetes-Sicherheit?

• Code aus nicht vertrauenswürdigen Registrys: Nicht vertrauenswürdiger Code kann Malware oder Hintertüren enthalten, über die Angreifer ungewollt Zugriff erlangen.
• Aufgeblähte Basis-Images: Bei Container-Anwendungen ist weniger mehr. Daher sollten Entwickler unnötige Pakete, Bibliotheken und Shells entfernen, die kompromittiert werden könnten.
  

• Gewähren von unnötigen Berechtigungen: Begrenzen Sie Berechtigungen nach Möglichkeit auf ein Minimum und mounten Sie nur die Secrets, die für eine Aufgabe erforderlich sind, um die Angriffsfläche zu verkleinern.
• Anwendungen werden nicht im Cluster isoliert.: Trennen Sie Ressourcen und Teams mithilfe von Namespaces voneinander.
• Laterale Ausbreitung im Cluster: Segmentieren Sie das Netzwerk mit Richtlinien, um die laterale Ausbreitung eines Angriffs innerhalb des Clusters zu verhindern.
• Unbefugter Zugriff: Stellen Sie sicher, dass die rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC) ordnungsgemäß konfiguriert ist, um den Zugriff einzuschränken.
  

• Angriffe auf die Infrastruktur: Während der Laufzeit bieten Kubernetes-Infrastrukturelemente wie API-Server, etcd und Controller jeweils eigene Angriffsflächen.
• Komplexität: Der fortwährende Zustand eines Kubernetes-Clusters wird von vielen dynamischen Teilen bestimmt. Kompromittierte Container müssen schnell isoliert, gestoppt und durch fehlerfreie Container ersetzt werden, während die Quelle des Angriffs lokalisiert und beseitigt wird.
  

Als Best Practice wird empfohlen, mit minimalen Images ohne Distribution zu beginnen und nur die absolut notwendigen Images hinzuzufügen. Kleiner ist sicherer.

• Verwenden Sie ein minimales Hostbetriebssystem, Mounts mit reinem Lesezugriff und SELinux-Optionen für noch mehr Kontrolle.
• Scannen Sie Images umfassend auf Schwachstellen, einschließlich Betriebssystem-Images und externer Images jeglicher Art. Externe Quellen sind niemals vertrauenswürdig.
• Nutzen Sie Namespaces und RBAC, um Cluster und Anwender logisch zu segmentieren. Nur erforderliche Elemente dürfen sichtbar sein.
• Mit den Standardeinstellungen für das Kubernetes-Networking ist eine beliebige Kommunikation möglich. Daher sollte vor dem Produktionsstart eine Netzwerksegmentierung erfolgen. Definieren Sie sorgfältig Ingress- und Egress-Richtlinien, um sicherzustellen, dass Verbindungen ordnungsgemäß geroutet werden.
• Beschränken Sie Berechtigungen auf ein Minimum und führen Sie Anwendungsprozesse niemals als Root aus. Mit einem schreibgeschützten Root-Dateisystem verhindern Sie Angriffe, die auf der Installation von Software oder der Änderung des Dateisystems basieren.
• Integrieren Sie Sicherheitsfunktionen wie Image-Scans in die CI/CD-Pipeline. Besser noch: Führen Sie CIS-Benchmark-Sicherheitstests durch.
• Schützen Sie den Cluster. Konfigurieren Sie RBAC, um den Zugriff auf den API-Server zu beschränken, und stellen Sie durch TLS-Verschlüsselung sicher, dass die gesamte etcd-Kommunikation geschützt ist. Sie können auch Kubelet-Berechtigungen sperren, indem Sie RBAC für Kubelets konfigurieren.
• Profitieren Sie von integrierten Kontrollen in Kubernetes. Beschränken Sie z.B. den Pod-Zugriff, indem Sie einen Sicherheitskontext konfigurieren.
• Proaktive Sicherheit sollte die Überwachung von Prozessaktivitäten, der Kommunikation zwischen Services und der Kommunikation außerhalb des Clusters umfassen.