Le 7 migliori pratiche di sicurezza di Kubernetes

Kubernetes Security VS sicurezza dell'applicazione Best practice

In molti casi, Sicurezza Kubernetes le migliori pratiche sono in linea con le migliori pratiche generali di sicurezza della rete e dell'applicazione. Ad esempio, la crittografia dei dati inattivi e in transito è una priorità in qualsiasi ambiente di produzione, K8 o altro. Allo stesso modo, è fondamentale la corretta gestione dei dati sensibili come password e chiavi API. Nella maggior parte dei casi, i team DevSecOps aziendali sono consapevoli di queste best practice di base e svolgono un buon lavoro sfruttandole.

Qui andremo oltre le nozioni di base e esamineremo le 7 migliori pratiche di sicurezza Kubernetes che possono portare la sicurezza aziendale a un livello superiore. 

#1. Rendi la gestione della postura e la visibilità di K8s una priorità 

Ad alto livello, la gestione e la visibilità della postura di K8s riguardano la capacità di fare due cose in modo efficace:

• Configura tutti i cluster K8s e i carichi di lavoro dei container in modo sicuro. 
• Ottieni una visibilità granulare continua su tutti i carichi di lavoro e le configurazioni all'interno dell'azienda. 

Naturalmente, raggiungere questi obiettivi è più facile a dirsi che a farsi, in particolare negli ambienti multi-cloud. Quindi, cosa possono fare nello specifico i team di sicurezza aziendale per ottimizzare il livello di sicurezza e la visibilità di Kubernetes? Molti di questi passaggi verranno illustrati nelle procedure consigliate seguenti. Tuttavia, un prerequisito è l'approvazione dell'organizzazione per dare priorità alla sicurezza di K8s in tutta l'azienda. 

Ecco alcuni dei passi più importanti che le aziende possono intraprendere per iniziare il loro viaggio per migliorare la sicurezza di K8s ad alto livello. 

• Affida la configurazione dei cluster Kubernetes utilizzando le best practice del settore: Sebbene ogni deployment abbia delle sfumature, tutte le aziende possono fare riferimento a standard di sicurezza dei container ben definiti per rafforzare i propri cluster K8 e i carichi di lavoro dei container. Ad esempio, NIST 800-190 applicazione Container Security Guide (pdf) e Parametri di riferimento CIS forniscono una guida esperta e sono eccellenti linee di base da seguire per le imprese. L'utilizzo di standard come questi può fare molto per migliorare la postura di sicurezza aziendale complessiva. 

• "Sposta a sinistra" e automatizza: La configurazione manuale è una ricetta per le sviste e l'errore umano. "Sposta a sinistra sicurezza", il processo di integrazione della sicurezza il più presto possibile nel processo di sviluppo, aiuta intrinsecamente a limitare la configurazione manuale e incoraggia l'automazione delle best practice di sicurezza. Di conseguenza, i team DevSecOps possono creare best practice di sicurezza per Kubernetes nelle pipeline CI/CD per garantire che vengano applicate in modo coerente e scalabili senza problemi. 

• Implementare la microsegmentazione: Micro-segmentazione di contenitori e cluster Kubernetes aiuta a far rispettare i principi Zero Trust nell’infrastruttura aziendale e limita i movimenti laterali in caso di violazione. Di conseguenza, l'implementazione di policy di microsegmentazione nei carichi di lavoro aziendali è fondamentale per ottimizzare il livello di sicurezza complessivo. 

• Applica annotazioni ed etichette corrette in tutta l'azienda: Le etichette Kubernetes determinano il modo in cui le policy e gli oggetti vengono raggruppati e anche dove vengono distribuiti i carichi di lavoro. Di conseguenza, garantire l'utilizzo di etichette coerenti in tutti i cluster aziendali è un aspetto essenziale per mantenere una solida postura di sicurezza. Allo stesso modo, applicare policy che richiedono annotazioni specifiche sui carichi di lavoro e specificare contaminazioni e tolleranze per limitare dove i carichi di lavoro possono essere distribuiti sono passaggi tattici necessari per i team DevSecOps. 
• Sfrutta il monitoraggio continuo: controlli di sicurezza puntuali, pen test e scansioni di vulnerabilità non sono più sufficienti. Per stare al passo con la costante iterazione delle minacce e dei perimetri di rete, le aziende devono monitorare e scansionare continuamente minacce, intrusioni e configurazioni non sicure nei loro cluster K8. 

#2. Implementazione di Image Assurance

Le immagini dei container sono gli elementi costitutivi dei carichi di lavoro K8s. Sfortunatamente, le immagini dei container non sicure sono una minaccia diffusa. Caso in questione: un'analisi del 2020 ha rilevato che oltre la metà delle immagini su Docker Hub aveva una vulnerabilità critica. Di conseguenza, garantire che le immagini utilizzate in un Cluster K8s sono sicuri e estratti da fonti attendibili sono importanti best practice per la sicurezza di Kubernetes. 

Per implementare la garanzia dell'immagine, le aziende dovrebbero sfruttare strumenti di sicurezza che:

• Esegue la scansione delle immagini durante lo sviluppo e il runtime.
• Impedisce deployment di contenitori che non aderiscono alla policy.
• Decostruisce i livelli dell'immagine ed esegue la scansione dei pacchetti e delle dipendenze all'interno di un'immagine.
• Controlla le immagini per rilevare malware, vulnerabilità e configurazioni non sicure come password e chiavi di crittografia in testo normale.

#3. Ottimizzare i criteri con i controller di ammissione

Il server API Kubernetes è una superficie di attacco che le aziende devono proteggere da richieste non sicure o dannose. I controller di ammissione sono parti di codice progettate per eseguire proprio questa operazione. 

I controller di ammissione agiscono sulle chiamate API dopo l'autorizzazione, ma prima della persistenza, in modo che possano contribuire a salvaguardare dalle modifiche del cluster in caso di errori umani, configurazioni errate o account compromessi. Con i controller di ammissione, le aziende possono definire policy ottimizzate per limitare una serie di azioni tra cui aggiornamenti dei pod, distribuzione di immagini e assegnazioni di ruoli. 

#4. Proteggi le app Web e le API con un WAAP

I tradizionali Web Application Firewall (WAF) e i sistemi di rilevamento e prevenzione delle intrusioni (IDS/IPS) non sono sufficientemente flessibili o intelligenti per tenere il passo con le minacce a cui sono esposte le moderne app Web e API. Per affrontare minacce quali bot e attacchi zero day, le aziende dovrebbero utilizzare un'applicazione Web e una protezione API (WAAP) soluzione. 

I WAAP sono progettati pensando alle moderne applicazioni cloud-native e forniscono funzionalità come:

• Protezione API e microservizio.
• Web Application Firewall di nuova generazione integrato (NGWAF).
• Protezione da bot e DDoS.
• Limitazione avanzata della velocità che riduce i falsi positivi.

#5. Utilizzo di soluzioni intelligenti per la protezione del runtime 

Uno degli atti di equilibrio più difficili con la sicurezza di K8s è identificare i comportamenti dannosi e proteggere i carichi di lavoro dagli attacchi in tempo reale, limitando al contempo i falsi positivi. Per trovare il giusto equilibrio, le aziende hanno bisogno di soluzioni intelligenti che utilizzino più punti dati per identificare e mitigare le minacce. Ciò richiede un approccio su tre fronti alla protezione del runtime che include:

• Profilatura runtime: Ogni cluster K8s è diverso e le linee di base delle prestazioni sono importanti per rilevare comportamenti dannosi. Le moderne soluzioni di protezione runtime eseguono la profilazione runtime per stabilire linee di base del comportamento normale per i flussi di rete, l'attività del file system e i processi in esecuzione. Queste linee di base possono aiutare i motori di rilevamento delle minacce a rilevare e mitigare le potenziali minacce con il contesto, migliorando il livello di sicurezza generale e limitando i falsi positivi. 

• Rilevamento delle firme per comportamenti dannosi: Un solido database di comportamenti dannosi noti consente agli strumenti di sicurezza di rilevare in modo rapido e accurato le minacce più comuni. Confrontando il comportamento osservato con un database di firme, è possibile contenere le minacce note prima che abbiano l'opportunità di violare una rete. 
• Motorimalware : I motori anti-malware intelligenti e la scansione continua dei carichi di lavoro in fase di esecuzione sono componenti critici della protezione in fase di esecuzione. I motorimalware sono il cavallo di battaglia della sicurezza runtime e le aziende dovrebbero scansionare continuamente tutti i carichi di lavoro per rilevare le minacce il prima possibile.  

#6. Investi nella moderna protezione antintrusione K8s

Tecnologia IPS/IDS è da anni un punto fermo della sicurezza aziendale e ciò non è cambiato con l'avvento dei container e di Kubernetes. Fondamentalmente, gli strumenti che rilevano comportamenti sospetti e li segnalano o li prevengono saranno sempre una pietra miliare della sicurezza aziendale. Ciò che è cambiato è la natura dinamica delle risorse che IPS/IDS deve proteggere e le minacce che le aziende moderne devono affrontare. 

Le moderne soluzioni di protezione dalle intrusioni per Kubernetes devono essere in grado di eseguire funzioni quali:

• Scansione della porta interna dai pod K8s.
• Analizza i dati relativi agli account, al flusso di traffico dell'applicazione e alle operazioni del cluster K8. 
• Rileva le minacce moderne come il mining di criptovalute. 

Inoltre, i moderni IPS/IDS devono operare in ambienti multi-cloud per proteggere i cluster K8 ovunque siano distribuiti. 

#7. Enfatizza la visualizzazione e la reportistica regolare

Per comprendere lo stato attuale della loro posizione di sicurezza, le aziende devono avere accesso a report e visualizzazioni aggiornati (ad es. dashboard) che rappresentano l'intera infrastruttura applicativa. 

Non esiste un set unico di KPI e report di cui tutte le aziende hanno bisogno, quindi la personalizzazione è un aspetto importante di una soluzione efficace. Tuttavia, qualsiasi soluzione di visualizzazione e reporting della sicurezza K8 di livello aziendale dovrebbe includere dati aggregati provenienti da tutti i cloud, la possibilità di eseguire il drill-down per mostrare dettagli più granulari e una panoramica unificata delle risorse e degli avvisi.

È importante non trascurare l'importanza dei dashboard e delle panoramiche di alto livello quando si valutano gli strumenti di visualizzazione e reporting. Una delle maggiori sfide di molti strumenti di reporting è il sovraccarico di informazioni e la mancanza di chiarezza. Ci sono così tante informazioni che diventano incoerenti a livello aziendale. Con le giuste visualizzazioni e report di alto livello, le aziende possono valutare in modo rapido ed efficace il loro Container Security postura e capire su quali risultati devono concentrarsi per primi.