Nozioni di base sulla sicurezza di Kubernetes

Kubernetes è un sistema che esegue e gestisce molti container su numerose macchine.

Raggruppa i container in pod e li pianifica automaticamente sui nodi.

Un cluster Kubernetes esegue spesso le applicazioni più importanti di un'organizzazione.

Le sue numerose componenti, tra cui control plane, nodi e rete, offrono agli aggressori un'ampia superficie da analizzare.

Il server API è il cervello del cluster. Ogni azione passa da esso.

Non deve mai essere esposto alla rete Internet pubblica senza un'autenticazione efficace, altrimenti gli aggressori possono controllare ogni elemento.

RBAC significa controllo degli accessi basato sui ruoli. Stabilisce chi può fare che cosa nel cluster.

Assegni a ogni utente e servizio solo le autorizzazioni necessarie, seguendo il principio del privilegio minimo.

I pod comunicano con l'API utilizzando un account di servizio.

Per impostazione predefinita, questo account può avere autorizzazioni eccessive. Disabiliti il token quando un pod non ne ha bisogno:

I namespace dividono un cluster in aree separate.

Collocare team o ambienti in namespace diversi limita il raggio d'impatto e semplifica la gestione delle regole di accesso.

Per impostazione predefinita, tutti i pod possono comunicare liberamente tra loro.

Una policy di rete limita questo traffico, impedendo a un pod compromesso di raggiungere ogni risorsa. Consenta solo le connessioni realmente necessarie.

Le Secrets di Kubernetes contengono dati sensibili come password e token.

Abiliti la crittografia dei dati a riposo e non inserisca mai i segreti direttamente nelle definizioni dei pod o nelle immagini.

I pod devono applicare lo stesso hardening di qualsiasi container:

• Eseguire come non-root
• Rimuovere le capabilities non necessarie
• Evitare la modalità privilegiata

Gli standard Pod Security aiutano a imporre queste regole in tutto il cluster.

Il server API può registrare ogni richiesta in un audit log.

Questi log mostrano chi ha fatto che cosa e quando, un'informazione essenziale per individuare e analizzare le attività sospette.

Kubernetes e i suoi componenti pubblicano regolarmente correzioni di sicurezza.

L'utilizzo di una versione obsoleta lascia aperte vulnerabilità note. Applichi secondo una pianificazione le patch al control plane, ai nodi e agli add-on.

Che cosa controlla RBAC in un cluster Kubernetes?

Proteggere Kubernetes significa proteggere il server API, applicare RBAC e il principio del privilegio minimo, isolare con namespace e policy di rete, gestire i segreti in sicurezza, rafforzare i pod, abilitare i log di audit e applicare frequentemente le patch.