Plattformsicherheit

Server (LinuxAid)

• Bekannte Schwachstellen. Das Portal listet für jeden Server die offenen CVEs mit Schweregrad und dem nächsten Update-Fenster.
• End of Life. 75 Tage bevor ein Betriebssystem-Release keine kostenlosen Sicherheitsupdates mehr erhält, wird ein Alert ausgelöst. Hat das Release einen kostenpflichtigen erweiterten Support, bleibt der Alert aktiv, bis auch dieser endet.
• Firewall. Jeder Server meldet die Paketzähler seiner Firewall pro Regel als Metriken, bei verworfenem Datenverkehr wird jedoch kein Alert ausgelöst.
• Härtung. SSH erlaubt nur starke Schlüsselaustauschverfahren, Chiffren und MACs, außer unter RHEL 6. auditd lässt sich pro Server einschalten, SELinux auf Servern der RHEL-Familie.
• Repo-Snapshots. Legt Ihre Konfiguration ein Snapshot-Datum fest, kommen die Pakete aus diesem Snapshot. Am Tag vor jedem Update-Zyklus pushen wir einen Branch, der das Datum auf einen neueren Stand setzt. Nach dem Merge erhält so jeder Server im Zyklus dieselben Updates.

Kubernetes (KubeAid)

• Sicherheit der Lieferkette.
  • Image-Scans. Trivy scannt die Container-Images, die Sie betreiben, und behält die kritischen und hohen Befunde, für die es einen Fix gibt. Bei Clustern, die an Obmondo melden, zeigt das Portal sie an.
  • Registry-Mirror. Harbor kann diese Images spiegeln und ebenfalls scannen.
• Firewall. Cilium-Network-Policies können eingehenden und ausgehenden Datenverkehr filtern. Cilium exportiert jedes verworfene Paket als Hubble-Metrik, aber kein Alert wird ausgelöst, wenn abgewiesener Datenverkehr hoch bleibt.
• Laufzeitsicherheit. Tetragon zeichnet Prozessausführungen, das Laden von Kernelmodulen und Rechteänderungen auf und verfolgt Netzwerk- und Dateizugriffe erst, wenn eine Policy dafür hinzugefügt wird. KubeArmor kann blockieren, was Ihre Policies verbieten.
• Admission-Policies. Kyverno oder Gatekeeper können Workloads, die gegen Ihre Regeln verstoßen, stoppen, bevor sie starten.

Network-Policies, Image-Scans, Laufzeiterkennung und Admission-Policies sind Optionen, die Sie pro Cluster einschalten.

Fixes werden in den Servicefenstern ausgerollt, die Sie wählen. Erfordert ein Fix eine Änderung im Konfigurations-Repository, etwa eine neue KubeAid-Version oder ein neues Snapshot-Datum, kommt er zuerst als Branch zum Mergen.