确保 Kubernetes 安全合规的 6 个最佳实践-低调大师

确保 Kubernetes 安全合规的 6 个最佳实践

2022-05-26 501

当今，企业在加速应用现代化的同时，往往将 Kubernetes 安全置于次要地位。尽管这样的风险越来越高，但我们仍需谨慎对待那些能够缓解容器化环境威胁的安全策略。

一方面，安全措施必须足够精准，才能满足严格的合规要求，并通过审计这一关。组织必须遵守的各种法规包括 SOC 2、PCI DSS、GPDR、HIPAA 等等。与此同时，无论采用哪种安全流程，都要确保 DevOps 和开发人员的生产力不会受到影响。这是一种微妙的平衡法，容错率极低。

为了确保在容器化环境中持续合规，而不影响生产力，请遵循以下 6 个实践。

1. 实现自动化

市面上有许多出色的、完全开源的工具可供选择，合适的工具能够帮助企业实现实时威胁响应和持续在线监控，从而确保持续合规。例如，企业应将自动化漏洞扫描和安全策略即代码集成到流水线中。通过自动化 Kubernetes 审计日志分析工具处理日志和事件。基于机器学习的 SIEM 技术能够快速自动识别攻击模式。企业还应利用 CIS 基准和自定义合规核查来持续检查 Kubernetes 配置。

2. 对 Kubernetes 本身进行保护

将 Kubernetes 本身视为攻击面至关重要，因为攻击者一定会这样做。威胁越来越复杂，企业需要主动保护容器环境背后的全栈，以实现持续合规。保护措施包括：启用自动监控、强化反攻击手段、执行配置审计以及准备自动化缓解。除了 Kubernetes，企业对任何可能受到攻击的服务网格、托管 VM、插件或其他目标也应采取相同措施。

3. 发现攻击就能防止攻击

攻击杀伤的链条通常从启动无法识别的容器网络连接或进程开始，通过写入或更改现有文件，或者利用未受到保护的入口点，来提升其访问级别。然后，此类恶意手段会利用网络流量，将捕获到的数据发送到外部 IP 地址，造成数据泄露。杀伤链可能会以类似的方式将 Kubernetes API 服务作为中间人攻击的目标，通常会发起零日攻击、内部攻击和加密货币挖矿攻击。利用 Apache Log4j 进行的攻击也日益增多。

数据丢失防护 (DLP) 和 Web 应用程序防火墙 (WAF) 相结合的策略能够提供检测活跃杀伤链所需的可见性以及自动响应能力，在可疑的进程和流量造成破坏之前将其终止。事实上，目前许多法规的合规框架都专门要求组织具备 DLP 和 WAF 能力，以保护其容器和 Kubernetes 环境，这些框架包括 PCI DSS、SOC 2 和 GDPR。（HIPAA 也强烈建议采用 DLP。）

4. 专注于零信任

通过实施零信任模型，企业不再被动地处理在日志分析或基于签名的检测中发现的威胁。零信任策略只允许经过批准的进程和流量在企业环境中活动，从而阻止所有攻击。整个云原生技术栈，以及 RBAC 等访问控制，都必须采取这些零信任防护措施。这样一来，企业就确保能够实现持续合规。

5. 利用Kubernetes 内置安全措施

Kubernetes 内置的安全功能包括日志审计、RBAC 以及由 Kubernetes API 服务器集中进行的系统日志收集。利用这些功能来收集并分析所有活动日志，从而识别攻击或错误配置。然后，通过安全补丁或者基于策略的新防护措施，来解决各种事件或不合规的运行时活动。

在大多数情况下，企业会希望进一步通过能够实现容器应用程序安全和持续合规审计的工具来支持现有的 Kubernetes 安全措施。企业应使用内置的 Kubernetes 准入控制器，紧密协调 Kubernetes 与外部注册请求和资源请求。这种方法可以更有效地防止应用程序部署中的漏洞和未经授权的行为。

6. 验证云主机的安全性

托管 Kubernetes 的云平台能够把控自己的系统，必须确保其持续合规。然而，如果不检查这些云托管实践是否真正得到了充分保护，是否履行了企业自身的合规责任，那风险就太高了。事实上，许多云提供商所提供的责任共担模式会将保护应用程序访问权限、网络行为和云上其他资产的重任直接留给客户。

实时环境中的持续合规

Kubernetes 和容器化环境极其活跃，容器创建和删除的速度之快，让手动安全检查无法对其进行保护。此外，许多合规法规要求的传统安全技术，例如，网络分段和防火墙，在容器网络中不起作用。

在构建、迁移和在生产环境中运行应用程序时，现代的持续开发流程会定期引入新的代码和容器。因此，法规要求组织采用自动化实时安全防护和审计措施，以实现真正的持续合规。

微信关注我们

原文链接：https://my.oschina.net/rancher/blog/5531643

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

云办公系统 skyeye v3.7.14 CRM，ERP 更新

智能办公 OA 系统 [SpringBoot2 - 快速开发平台]，适用于医院，学校，中小型企业等机构的管理。包含文件在线操作、工作日志、多班次考勤、CRM、ERP 进销存、项目管理、EHR、拖拽式生成问卷、日程、笔记、工作计划、行政办公、薪资模块、动态表单、知识库、公告模块、企业论坛、云售后模块、生产模块、系统模块化同步模块等多种复杂业务功能。最近一段时间做了个小手术，没有持续开发，更新内容比较少云办公系统 skyeye v3.7.14发布，更新内容： US：企业版学校模块拆分，预购买企业版的可以不选择学校模块 ERP仓库管理新增基本属性信息动态表单空间整改并增加基本属性信息表单业务分类管理列表查询修改菜单管理图标选择插件化系统部分功能的说明规范设置修改，解决版本号加载两次的问题 CRM商机来源整改 CRM客户来源整改企业版改进计划，改进计划优惠多多哦。详情 erp：https://gitee.com/doc_wei01/erp-pro OA：https://gitee.com/doc_wei01/skyeye 报表：https://gitee.com/doc_we...

2022-05-26

492

- 数据请求阶段 - Part 1 - 简单查询 1.客户端发送Query (‘Q’)消息给服务端，包含了一条字符串类型的SQL语句。 func(cn *conn) query(query string, args []driver.Value)(_ *rows, err error){ ... // Check to see if we can use the "simpleQuery"interface, which is // *much* faster than going through prepare/exec iflen(args)==0{ return cn.simpleQuery(query) } ...} 2.服务端收到Query消息，解析SQL语句，生成抽象语法树(AST)，并传给执行器执行，获得结果。 func(c *conn) serveImpl( ctx context.Context, draining func()bool, sqlServer *sql.Server, reserved mon.BoundAccount, stopper *stop...

2022-05-26

360

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。