Protección de la cadena de suministro y secretos

Una imagen de contenedor se crea a partir de imágenes base, paquetes del sistema operativo y dependencias de la aplicación; después, pasa por un registro hasta llegar al clúster. Cada paso es una oportunidad de compromiso. Los ataques a la cadena de suministro introducen código malicioso antes de que llegue a producción.

• Imágenes base o dependencias comprometidas.
• Imágenes manipuladas en el registro.
• Pasos maliciosos en el proceso de CI/CD.

Las imágenes suelen incluir paquetes con vulnerabilidades conocidas. El análisis permite detectarlas antes de la implementación.

• Las imágenes base antiguas acumulan CVE.
• Las imágenes infladas amplían la superficie de ataque.
• Los secretos integrados en las capas de las imágenes exponen credenciales.

Reduzca la superficie de ataque comenzando con una base pequeña y confiable.

• Use imágenes base distroless o mínimas (sin shell ni gestor de paquetes).
• Fije las imágenes base mediante su digest, no mediante etiquetas flotantes.
• Prefiera imágenes base oficiales o revisadas internamente.

Una imagen más pequeña implica menos CVE y menos herramientas que un atacante pueda aprovechar después del compromiso.

La firma demuestra que una imagen proviene de su pipeline y no ha sido manipulada. La procedencia (SLSA) registra cómo se creó.

• Cosign firma y verifica imágenes.
• Genere un SBOM para realizar un seguimiento de cada componente.
• Adjunte atestaciones de procedencia de la compilación.

Imponga que solo se ejecuten imágenes firmadas y analizadas. Un controlador de admisión rechaza las imágenes sin firma o vulnerables durante la implementación.

El propio sistema de CI/CD tiene un gran valor: contiene credenciales y puede realizar envíos a producción.

• Limite las credenciales del pipeline aplicando el principio de mínimo privilegio y asignándoles una duración breve.
• Fije y verifique las acciones y los complementos de CI de terceros.
• Aísle los ejecutores de compilación; no los reutilice entre niveles de confianza.
• Proteja el registro mediante autenticación e inmutabilidad.

Los Secrets de Kubernetes están codificados en base64, no cifrados, de forma predeterminada. Cualquiera que pueda leerlos o leer etcd verá el texto sin formato.

Proteja el contenido de etcd para que el robo de una copia de seguridad o el acceso a etcd no exponga todo.

• Active el cifrado en reposo mediante una EncryptionConfiguration.
• Utilice un proveedor de KMS de la nube para el cifrado de sobre.
• Restrinja y audite el acceso directo a etcd.

El patrón más seguro mantiene los secretos completamente fuera del almacén del clúster.

• HashiCorp Vault o los gestores de secretos de la nube almacenan la fuente de referencia.
• El External Secrets Operator o el controlador CSI los inyecta en tiempo de ejecución.
• Utilice workload identity para que los pods obtengan secretos mediante tokens de cloud de corta duración, no mediante claves estáticas.

Las prácticas operativas reducen la exposición de los secretos.

• No integre nunca secretos en las imágenes ni los confirme en Git.
• Analice los repositorios y las imágenes en busca de credenciales expuestas.
• Rote los secretos con regularidad y cuando sospeche que se han expuesto.
• Restrinja get/list secrets de RBAC al mínimo indispensable.

Al realizar la evaluación, verifique que las imágenes sin firma o vulnerables se bloqueen realmente, que los Secrets estén cifrados en reposo y que no haya credenciales en texto plano en las imágenes ni en Git. Demuestre los hallazgos sin extraer secretos reales más allá de lo necesario para demostrarlo.

Informe de cada deficiencia indicando el control concreto (política de firma, cifrado mediante KMS, gestor externo) que la corrige.

Confirme sus conocimientos sobre la cadena de suministro y los secretos.

Ha reforzado la cadena de suministro de imágenes y la gestión de secretos.

• Analice las imágenes, use imágenes base mínimas fijadas y fírmelas con cosign.
• Imponga el uso de imágenes firmadas y analizadas, así como de registros confiables, durante la admisión.
• Los Secrets de Kubernetes solo están codificados en base64; active el cifrado KMS en reposo.
• Prefiera los gestores externos de secretos y workload identity, y aplique buenas prácticas de higiene de secretos.

Esto completa el curso de Kubernetes Security y este conjunto de lecciones.