Mitkä käytännöt ovat tärkeimpiä?
Aloita luotettavilla, minimaalisilla peruskuvilla
Käytä hyvin ylläpidettyjä peruskuvia, jotka sisältävät vain sovelluksen tarvitsemat paketit, kirjastot ja apuohjelmat. Tämä pienentää hyökkäyspintaa ja helpottaa paikkausta.
Tarkista kuvat ja riippuvuudet ennen käyttöönottoa
Tarkistuksen tulee tunnistaa tunnetut haavoittuvuudet, paljastuneet luottamukselliset tiedot ja ilmeiset virheelliset määritykset ennen kuin esineet siirtyvät eteenpäin. Tämä ei ole koko konttiturvallisuutta, mutta se on silti yksi käytännöllisimmistä toimenpiteistä vältettävien riskien vähentämiseksi varhaisessa vaiheessa.
Käsittele Kubernetes ilmentää ja Infrastruktuuri koodina ( IaC ) tietoturvakriittisinä esineinä
Työkuormitusmääritykset (esim. Kubernetes, podit, käyttöoikeudet), ruorikaaviot (pakatut Kubernetes-kokoonpanot), Terraform (infrastruktuurin hallinta eli pilviresurssit, verkko) ja muut käyttöönoton artefaktit (kaikki määritykset, joita käytetään järjestelmien pyörittämiseen) voivat tarjota etuoikeuksia, verkottumista ja altistumisongelmia kauan ennen suoritusaikaa.
Käytä klusterin vähiten käyttöoikeuksia
Kubernetes RBAC tulee suunnitella huolellisesti käyttäjiä, palvelutilejä ja työkuormia varten. Liiallinen käyttö lisää väärinkäytösten ja oikeuksien eskaloitumisen riskiä.
Käytä sisäänpääsyn valvontaa ja käytäntöjen valvontaa
Suojaussäännöt ovat tehokkaampia, kun ne otetaan käyttöön automaattisesti käyttöönoton yhteydessä. Pääsyn hallinta voi pysäyttää riskialttiit resurssit ennen kuin ne hyväksytään klusteriin, kun taas käytäntömoottorit voivat auttaa standardoimaan vaatimuksia eri ryhmissä ja ympäristöissä.
Segmentoi verkot räjähdyssäteen pienentämiseksi
Verkkokäytäntöjen tulisi heijastaa sitä, miten sovellukset todellisuudessa kommunikoivat, ja samalla rajoittaa tarpeetonta itä-länsi -liikettä.
Valvo ajonaikaista toimintaa
Rakennusaikainen tarkistus ei havaitse jokaista suoritusaikaista ongelmaa. Tiimit tarvitsevat edelleen näkyvyyttä prosessien käyttäytymisestä, yhteyksistä, resurssien käytöstä, käytäntöjen ajautumisesta ja epäilyttävästä toiminnasta käynnissä olevien säilöjen sisällä. Tämän vuoksi suorituksenaikaisen valvonnan tulisi ulottaa kuvan tilan lisäksi käynnissä olevat sovellukset, järjestäjien toiminnan ja säilöjen välisen viestinnän.
Kirjaudu tarpeeksi tutkiaksesi
Säilö- ja Kubernetes-ympäristöt luovat lokeja useissa kerroksissa, ja tämä telemetria on tärkeää havaitsemisessa ja tapahtuman jälkitutkimuksessa.
Miten DevSecOps-tiimien tulisi käyttää näitä hallintatoimintoja hidastamatta toimitusta?
Tehokkain tapa on asettaa oikea valvonta oikeaan vaiheeseen .
Keskity rakennusvaiheessa kuvahygieniaan, riippuvuustarkistukseen, salaisuuden havaitsemiseen ja ohjelmiston alkuperään.
Keskity käyttöönottovaiheessa manifestin validointiin, käytännön valvontaan ja käyttöoikeuksien valvontaan.
Keskity suorituksen aikana käyttäytymisen valvontaan, hälytyksiin, poikkeamien havaitsemiseen ja tutkintavalmiuksiin.
Vaiheittainen lähestymistapa on tärkeä, koska kaikki asiat eivät kuulu samaan porttiin. Joidenkin tarkistusten pitäisi estää käyttöönotto, kun taas toisten pitäisi käynnistää tarkistus, korjaus tai suorituksenaikainen valvonta. Aikuiset tiimit erottavat pakolliset korjausrikkomukset pienemmän riskin ongelmista, jotta tietoturva pysyy täytäntöönpanokelpoisena ilman pullonkaulaa. Vaiheittainen lähestymistapa toimii parhaiten, kun tiimit käyttävät laatuportteja kuville ja infrastruktuurikoodille ja yhdistävät ne suorituksenaikaisiin tarkistuksiin ja vaatimustenmukaisuuden valvontaan koko elinkaaren ajan.
Miltä hyvät käytännöt näyttävät päivittäisessä toiminnassa?
Hyvin hoidetuissa ympäristöissä säilön suojaus ei ole erillinen tapahtuma julkaisujakson lopussa – se on osa ohjelmistojen rakentamista ja toimitusta. Kehittäjät tietävät, mitkä peruskuvat hyväksytään, CI-putkistot suorittavat tarkistuksia automaattisesti, alustaryhmät määrittävät klusterin suojakaiteet selkeästi ja tietoturvatiimit arvioivat trendejä, poikkeuksia ja toistuvia heikkouksia sen sijaan, että luottaisivat vain kertaluonteisiin tarkastuksiin.
Tämä toimintarytmi on tärkeä, koska DevSecOps onnistuu, kun säätimet ovat ennustettavissa. Työryhmät hyväksyvät paljon todennäköisemmin tietoturvavaatimukset, kun vaatimukset on upotettu työkaluihin ja työnkulkuun sen sijaan, että ne esitettäisiin vasta vastalauseina myöhään.
Mitä ryhmien tulisi tarkistaa säännöllisesti?
Hyviä kontin suojausohjelmia ylläpidetään, ei vain lanseerata. Tiimien tulee tarkistaa säännöllisesti:
- mitkä kuvat on hyväksytty ja edelleen käytössä
- Siirtyykö vanhoja haavoittuvuuksia uusiin versioihin
- Lisääntyvätkö poikkeukset käytäntöön ajan myötä
- Ovatko palvelutilit ja roolit etuoikeutettuja
- Vastaavatko verkkokäytännöt edelleen sitä, miten työkuormat todellisuudessa kommunikoivat
- Tuottavatko suorituksenaikaiset hälytykset hyödyllisiä tutkimuksia vai pelkkää melua
- Riittääkö kirjaaminen poikkeamien vastausta ja tapahtuman jälkeistä tarkistusta varten.
Nämä tarkistuskohdat estävät hallinnan ajautumisen – ilman niitä järkevätkin tietoturvakäytännöt voivat vanhentua tai niitä voidaan soveltaa epäjohdonmukaisesti.
Missä organisaatiot tekevät tämän väärin
Yksi yleinen virhe on tietoturvan työntäminen liian kauas vasemmalle ja oletus, ettei suoritusajalla ole enää väliä. Vaihto-vasen on arvokas, mutta säilöt ovat dynaamisia, ja suorituksenaikainen näkyvyys on silti tärkeä havaittaessa epäilyttävää toimintaa, väärinkäytettyjä käyttöoikeuksia ja hallintahäiriöitä, jotka näkyvät vasta käyttöönoton jälkeen.
Toinen virhe on suojauskäytännön käsitteleminen ulkoisena tarkistusvaiheena sen sijaan, että se olisi koodattu toimitukseen. Jos kehittäjät kuulevat rikkomuksista vasta prosessin lopussa, korjaamisesta tulee hitaampaa ja kiistanalaisempaa.
Kolmas yrittää kiinnittää kontteja kiinnittämättä alustaa niiden ympärillä. DevSecOps-tiimit voivat parantaa kuvanlaatua, mutta klusteritason kulunvalvonta, pääsykäytännöt, kirjaus ja segmentointi edellyttävät silti tiivistä linjausta alusta- ja tietoturvatiimien kanssa.
Mitä käytännön DevSecOps-tarkistusluettelon tulisi sisältää?
Toimiva tarkistuslista sisältää yleensä:
- Hyväksytyt peruskuvat ja kuvan alkuperä
- Kuvan ja riippuvuuden tarkistus CI:ssä
- Salainen havaitseminen ennen yhdistämistä tai koontiversiota
- Suojausasetusten manifest- ja IaC-tarkistus
- Vähiten etuoikeutettujen RBAC- ja palvelutilin suunnittelu
- Käyttöönoton suojakaiteiden pääsyn valvonta
- Verkkokäytännöt työkuorman eristämiseen
- Säilö- ja klusteritoiminnan ajonaikainen valvonta
- Keskitetty kirjaus- ja tutkimusvalmius
- Säännöllinen käytäntöjen, poikkeusten tarkistus ja vanhentuneet säännöt.
Key takeaway
Säilön tietoturvan paras käytäntö DevSecOps-tiimeille on toimitusmalli: suojaa syötteet, varmista käyttöönoton suojakaiteet, valvo suoritusaikaa ja pidä palautesilmukka riittävän tiukkana, jotta suunnittelutiimit voivat korjata ongelmat ennen kuin niistä muodostuu tuotantoriski.
Lisää säilön suojaus DevSecOps-prosessiin
Tehokas DevSecOps riippuu tietoturvaohjauksista, jotka toimivat ohjelmistokehitysprosessissa. Kaspersky Container Security auttaa tiimejä tarkistamaan säilöjen kuvat, havaitsemaan käynnissä olevien säilöjen heikkouksia, valvomaan resurssien käyttöä ja viestintää sekä automatisoimaan tietoturva- ja vaatimustenmukaisuustarkistuksia.
Lähteet ja lisätietoa:
