Platformssikkerhed

Servere (LinuxAid)

• Kendte sårbarheder. Portalen viser hver servers åbne CVE'er med alvorlighed og næste opdateringsvindue.
• End of life. En alarm fra 75 dage før OS-versionen holder op med at få gratis sikkerhedsopdateringer. Har versionen betalt udvidet support, bliver alarmen ved, indtil den også udløber.
• Firewall. Hver server rapporterer firewallens pakketal pr. regel som metrikker, men der udløses ingen alarm på droppet trafik.
• Hærdning. SSH tillader kun stærke nøgleudvekslinger, ciphers og MACs, undtagen på RHEL 6. auditd kan slås til pr. server og SELinux på RHEL-baserede servere.
• Repo-snapshots. Hvor din konfiguration fastlåser en snapshot-dato, kommer pakkerne fra det snapshot. Dagen før hver opdateringscyklus pusher vi en branch, der rykker datoen frem, så alle servere i cyklussen får de samme opdateringer, når den er merget.

Kubernetes (KubeAid)

• Supply chain-sikkerhed.
  • Image-scanning. Trivy scanner de container-images, du kører, og gemmer de kritiske og høje fund, der har en rettelse. På klynger, der rapporterer til Obmondo, viser portalen dem.
  • Registry-spejl. Harbor kan spejle de images og også scanne dem.
• Firewall. Cilium-netværkspolitikker kan filtrere indgående og udgående trafik. Cilium eksporterer hver droppet pakke som en Hubble-metrik, men der udløses ingen alarm, når afvist trafik bliver ved med at være høj.
• Runtime-sikkerhed. Tetragon registrerer procesafvikling, indlæsning af kernemoduler og ændringer af rettigheder og følger først netværks- og filadgang, når der er tilføjet en politik til det. KubeArmor kan blokere det, dine politikker forbyder.
• Admission-politikker. Kyverno eller Gatekeeper kan stoppe workloads, der bryder dine regler, før de starter.

Netværkspolitikker, image-scanning, runtime-overvågning og admission-politikker er valg, du slår til pr. klynge.

Rettelser rulles ud i de servicevinduer, du vælger. Kræver en rettelse en ændring i konfigurations-repositoryet, fx en ny KubeAid-version eller snapshot-dato, kommer den først som en branch, der skal merges.