Zabezpieczanie łańcucha dostaw i sekretów

Obraz kontenera jest tworzony z obrazów bazowych, pakietów systemu operacyjnego i zależności aplikacji, a następnie przesyłany przez rejestr do klastra. Każdy etap stwarza możliwość przejęcia. Ataki na łańcuch dostaw wprowadzają złośliwy kod, zanim ten kiedykolwiek trafi na produkcję.

• Przejęte obrazy bazowe lub zależności.
• Zmodyfikowane obrazy w rejestrze.
• Złośliwe kroki w potoku CI/CD.

Obrazy często zawierają pakiety z rozpoznanymi podatnościami. Skanowanie pozwala wykryć je przed wdrożeniem.

• Stare obrazy bazowe gromadzą CVE.
• Rozbudowane obrazy zwiększają powierzchnię ataku.
• Sekrety osadzone w warstwach obrazu ujawniają poświadczenia.

Powierzchnię ataku należy zmniejszać, zaczynając od małych i sprawdzonych obrazów.

• Należy używać obrazów bazowych typu distroless lub minimalnych (bez powłoki i menedżera pakietów).
• Należy przypinać obrazy bazowe za pomocą digestu, a nie zmiennych tagów.
• Należy preferować oficjalne lub wewnętrznie zweryfikowane obrazy bazowe.

Mniejszy obraz oznacza mniej CVE i mniej narzędzi, które napastnik może wykorzystać po przejęciu.

Podpis potwierdza, że obraz pochodzi z Państwa potoku i nie został zmodyfikowany. Proweniencja (SLSA) rejestruje sposób jego zbudowania.

• Cosign podpisuje i weryfikuje obrazy.
• Należy wygenerować SBOM, aby śledzić każdy składnik.
• Należy dołączyć poświadczenia proweniencji procesu budowania.

Należy wymusić uruchamianie wyłącznie podpisanych i przeskanowanych obrazów. Kontroler admission odrzuca niepodpisane lub podatne obrazy podczas wdrażania.

Sam system CI/CD ma dużą wartość dla napastników: przechowuje poświadczenia i może wdrażać zmiany na produkcji.

• Należy ograniczyć uprawnienia poświadczeń potoku do niezbędnego minimum i ustawić ich krótki czas życia.
• Należy przypinać i weryfikować zewnętrzne akcje oraz wtyczki CI.
• Należy izolować wykonawców kompilacji i nie używać ich ponownie na różnych poziomach zaufania.
• Należy chronić rejestr za pomocą uwierzytelniania i niezmienności.

Kubernetes Secrets są domyślnie zakodowane w base64, a nie szyfrowane. Każdy, kto może je odczytać lub odczytać etcd, widzi tekst jawny.

Należy chronić zawartość etcd, aby skradziona kopia zapasowa lub dostęp do etcd nie ujawniły wszystkich danych.

• Należy włączyć szyfrowanie w spoczynku za pomocą EncryptionConfiguration.
• Należy użyć dostawcy KMS w chmurze do szyfrowania kopertowego.
• Należy ograniczyć i rejestrować bezpośredni dostęp do etcd.

Najbezpieczniejszy wzorzec polega na całkowitym przechowywaniu sekretów poza magazynem klastra.

• HashiCorp Vault lub chmurowe menedżery sekretów przechowują źródło prawdy.
• External Secrets Operator lub sterownik CSI wstrzykuje je w czasie działania.
• Należy używać workload identity, aby pody pobierały sekrety za pomocą krótkotrwałych tokenów chmurowych, a nie kluczy statycznych.

Praktyki operacyjne ograniczają ujawnianie sekretów.

• Nigdy nie należy umieszczać sekretów w obrazach ani zatwierdzać ich w Git.
• Należy skanować repozytoria i obrazy pod kątem ujawnionych poświadczeń.
• Należy regularnie rotować sekrety oraz robić to po podejrzeniu ich ujawnienia.
• Należy ograniczyć uprawnienia RBAC get/list secrets do niezbędnego minimum.

Podczas oceny należy sprawdzić, czy niepodpisane lub podatne obrazy są rzeczywiście blokowane, czy sekrety są szyfrowane w spoczynku oraz czy w obrazach lub Git nie znajdują się poświadczenia w postaci jawnego tekstu. Wyniki należy demonstrować bez eksfiltrowania prawdziwych sekretów poza zakres niezbędnego dowodu.

Każdą lukę należy zgłosić wraz z konkretnym mechanizmem kontroli, który ją zamyka (zasada podpisywania, szyfrowanie KMS, zewnętrzny menedżer).

Wzmocniłeś łańcuch dostaw obrazów i obsługę sekretów.

• Skanuj obrazy, używaj minimalnych przypiętych obrazów bazowych i podpisuj je za pomocą cosign.
• Wymuszaj stosowanie podpisanych i przeskanowanych obrazów oraz zaufanych rejestrów na etapie admission.
• Kubernetes Secrets zawierają wyłącznie dane zakodowane w base64; włącz szyfrowanie KMS w spoczynku.
• Preferuj zewnętrzne menedżery sekretów i workload identity oraz stosuj zasady higieny sekretów.

To kończy kurs Kubernetes Security i ten zestaw lekcji.