Protegendo a cadeia de suprimentos e os segredos

Uma imagem de contêiner é criada a partir de imagens base, pacotes do sistema operacional e dependências da aplicação e depois enviada por um registro para o cluster. Cada etapa é uma oportunidade de comprometimento. Os ataques à cadeia de suprimentos inserem código malicioso antes de ele sequer chegar à produção.

• Imagens base ou dependências comprometidas.
• Imagens adulteradas no registro.
• Etapas maliciosas no fluxo de CI/CD.

As imagens frequentemente são distribuídas com pacotes que apresentam vulnerabilidades conhecidas. A verificação detecta essas vulnerabilidades antes da implantação.

• Imagens base antigas acumulam CVEs.
• Imagens muito grandes ampliam a superfície de ataque.
• Segredos incorporados nas camadas da imagem expõem credenciais.

Reduza a superfície começando com algo pequeno e comprovadamente seguro.

• Use imagens base distroless ou mínimas (sem shell, sem gerenciador de pacotes).
• Fixe as imagens base pelo resumo criptográfico, não por rótulos flutuantes.
• Prefira bases oficiais ou avaliadas internamente.

Uma imagem menor significa menos CVEs e menos ferramentas para um invasor explorar após o comprometimento.

A assinatura comprova que uma imagem veio do seu fluxo e não foi adulterada. A proveniência (SLSA) registra como ela foi criada.

• Cosign assina e verifica imagens.
• Gere uma SBOM para acompanhar cada componente.
• Anexe atestações de proveniência da compilação.

Imponha que apenas imagens assinadas e verificadas quanto a vulnerabilidades sejam executadas. Um controlador de admissão rejeita imagens não assinadas ou vulneráveis no momento da implantação.

O próprio sistema de CI/CD é um alvo valioso: ele armazena credenciais e pode enviar código para a produção.

• Restrinja as credenciais do fluxo usando o menor privilégio e períodos de validade curtos.
• Fixe e verifique ações e plug-ins de CI de terceiros.
• Isole os executores de compilação; não os reutilize entre níveis de confiança.
• Proteja o registro com autenticação e imutabilidade.

Os segredos do Kubernetes são codificados em base64, não criptografados, por padrão. Qualquer pessoa que possa lê-los, ou ler o etcd, vê o texto não criptografado.

Proteja o conteúdo do etcd para que um backup roubado ou o acesso ao etcd não exponha tudo.

• Ative a criptografia em repouso com uma EncryptionConfiguration.
• Use um provedor KMS de nuvem para criptografia de envelope.
• Restrinja e audite o acesso direto ao etcd.

O padrão mais seguro mantém os segredos completamente fora do armazenamento do cluster.

• O HashiCorp Vault ou gerenciadores de segredos da nuvem mantêm a fonte de verdade.
• O External Secrets Operator ou o controlador CSI injeta os segredos em tempo de execução.
• Use a identidade da carga de trabalho para que os pods busquem segredos usando tokens de nuvem de curta duração, não chaves estáticas.

Práticas operacionais reduzem a exposição dos segredos.

• Nunca inclua segredos em imagens nem os confirme no Git.
• Analise repositórios e imagens em busca de credenciais expostas.
• Renove os segredos regularmente e quando houver suspeita de exposição.
• Restrinja o RBAC get/list secrets ao mínimo.

Durante a avaliação, verifique se imagens não assinadas ou vulneráveis são realmente bloqueadas, se os segredos são criptografados em repouso e se não há credenciais em texto não criptografado nas imagens ou no Git. Demonstre as descobertas sem exfiltrar segredos reais além do necessário para a comprovação.

Relate cada lacuna com o controle concreto (política de assinatura, criptografia KMS, gerenciador externo) que a elimina.

Você reforçou a cadeia de suprimentos de imagens e o tratamento de segredos.

• Analise as imagens, use bases mínimas fixadas e assine com cosign.
• Imponha imagens assinadas e analisadas, além de registros confiáveis, no momento da admissão.
• Os segredos do Kubernetes são apenas base64; ative a criptografia KMS em repouso.
• Prefira gerenciadores externos de segredos e identidade de carga de trabalho; pratique a higiene dos segredos.

Isso conclui o curso de Segurança do Kubernetes e este conjunto de lições.