Mengamankan Rantai Pasokan dan Rahasia

Sebuah citra kontainer dibangun dari citra dasar, paket OS, dan dependensi aplikasi, lalu dikirim melalui registri ke dalam klaster. Setiap tahap merupakan peluang terjadinya penyusupan. Serangan rantai pasokan menyisipkan kode berbahaya sebelum kode tersebut mencapai produksi.

• Citra dasar atau dependensi yang disusupi.
• Citra yang diubah di dalam registri.
• Langkah alur CI/CD yang berbahaya.

Citra sering kali menyertakan paket yang diketahui rentan. Pemindaian menemukan masalah ini sebelum penerapan.

• Citra dasar lama mengakumulasi CVE.
• Citra yang terlalu besar memperluas permukaan serangan.
• Rahasia yang tertanam di lapisan citra membocorkan kredensial.

Kurangi permukaan serangan dengan memulai dari citra yang kecil dan telah terbukti aman.

• Gunakan citra dasar distroless atau minimal (tanpa antarmuka perintah dan tanpa pengelola paket).
• Tetapkan citra dasar berdasarkan intisari, bukan tag yang berubah-ubah.
• Utamakan citra dasar resmi atau yang telah diperiksa secara internal.

Citra yang lebih kecil berarti lebih sedikit CVE dan lebih sedikit alat yang dapat disalahgunakan penyerang setelah penyusupan.

Penandatanganan membuktikan bahwa citra berasal dari alur Anda dan tidak diubah. Asal-usul (SLSA) mencatat cara citra tersebut dibangun.

• Cosign menandatangani dan memverifikasi citra.
• Buat SBOM untuk melacak setiap komponen.
• Lampirkan pengesahan asal-usul pembuatan.

Terapkan aturan bahwa hanya citra yang ditandatangani dan dipindai yang boleh dijalankan. Pengontrol penerimaan menolak citra yang tidak ditandatangani atau rentan saat penerapan.

Sistem CI/CD itu sendiri bernilai tinggi: sistem ini menyimpan kredensial dan dapat mengirim perubahan ke produksi.

• Batasi cakupan kredensial alur berdasarkan hak minimum dan masa berlaku singkat.
• Tetapkan versi dan verifikasi tindakan atau plug-in CI pihak ketiga.
• Isolasi pelaksana build; jangan gunakan kembali pelaksana tersebut pada tingkat kepercayaan yang berbeda.
• Lindungi registri dengan autentikasi dan ketidakberubahan.

Rahasia Kubernetes secara bawaan dikodekan dengan base64, bukan dienkripsi. Siapa pun yang dapat membacanya, atau membaca etcd, dapat melihat teks biasa.

Lindungi isi etcd agar cadangan yang dicuri atau akses ke etcd tidak membocorkan semuanya.

• Aktifkan enkripsi saat disimpan dengan EncryptionConfiguration.
• Gunakan penyedia KMS awan untuk enkripsi berlapis.
• Batasi dan audit akses langsung ke etcd.

Pola yang paling kuat menyimpan rahasia sepenuhnya di luar penyimpanan klaster.

• HashiCorp Vault atau pengelola rahasia awan menyimpan sumber kebenaran.
• External Secrets Operator atau pengandar CSI menyuntikkannya saat berjalan.
• Gunakan identitas beban kerja agar pod mengambil rahasia melalui token awan berumur singkat, bukan kunci statis.

Praktik operasional mengurangi paparan rahasia.

• Jangan pernah menyertakan rahasia ke dalam citra atau mengirimkannya ke Git.
• Pindai repositori dan citra untuk mencari kredensial yang bocor.
• Lakukan rotasi rahasia secara berkala dan saat ada dugaan paparan.
• Batasi RBAC get/list secrets seminimal mungkin.

Saat melakukan penilaian, verifikasi bahwa citra yang tidak ditandatangani atau rentan benar-benar diblokir, bahwa Rahasia dienkripsi saat disimpan, dan bahwa tidak ada kredensial teks biasa di dalam citra atau Git. Tunjukkan temuan tanpa mengeksfiltrasi rahasia nyata melebihi yang diperlukan sebagai bukti.

Laporkan setiap celah beserta kontrol konkret (kebijakan penandatanganan, enkripsi KMS, atau pengelola eksternal) yang menutupnya.

Anda telah memperkuat rantai pasokan citra dan penanganan rahasia.

• Pindai citra, gunakan citra dasar minimal yang versinya ditetapkan, dan tandatangani dengan cosign.
• Terapkan citra yang ditandatangani dan dipindai serta registri tepercaya saat penerimaan.
• Rahasia Kubernetes hanya berupa base64; aktifkan enkripsi KMS saat disimpan.
• Utamakan pengelola rahasia eksternal dan identitas beban kerja; terapkan kebersihan rahasia.

Dengan ini, kursus Keamanan Kubernetes dan rangkaian pelajaran ini selesai.