Seguridad de la plataforma

Servidores (LinuxAid)

• Vulnerabilidades conocidas. El portal muestra las CVE abiertas de cada servidor, con su gravedad y la próxima ventana de actualizaciones.
• Fin de vida. Una alerta salta a partir de los 75 días previos a que la versión del sistema operativo deje de recibir actualizaciones de seguridad gratuitas. Si la versión tiene soporte extendido de pago, la alerta sigue activa hasta que este también termine.
• Cortafuegos. Cada servidor informa, como métricas, del recuento de paquetes de cada regla de su cortafuegos, pero no salta ninguna alerta por tráfico descartado.
• Bastionado. SSH solo permite intercambios de claves, cifrados y MAC robustos, salvo en RHEL 6. auditd puede activarse por servidor, y SELinux en servidores de la familia RHEL.
• Instantáneas de repositorios. Cuando tu configuración fija una fecha de instantánea, los paquetes proceden de esa instantánea. El día antes de cada ciclo de actualizaciones publicamos una rama que adelanta la fecha, de modo que todos los servidores del ciclo reciben las mismas actualizaciones una vez que se fusiona.

Kubernetes (KubeAid)

• Seguridad de la cadena de suministro.
  • Análisis de imágenes. Trivy analiza las imágenes de contenedor que ejecutas y conserva los hallazgos de gravedad crítica y alta que tienen corrección. En los clústeres que informan a Obmondo, el portal los muestra.
  • Réplica del registro. Harbor puede replicar esas imágenes y analizarlas también.
• Cortafuegos. Las políticas de red de Cilium pueden filtrar el tráfico de entrada y de salida. Cilium exporta cada paquete descartado como una métrica de Hubble, pero no salta ninguna alerta cuando el tráfico denegado se mantiene alto.
• Seguridad en tiempo de ejecución. Tetragon registra la ejecución de procesos, la carga de módulos del kernel y los cambios de privilegios, y solo sigue el acceso a la red y a los archivos cuando se añade una política para ello. KubeArmor puede bloquear lo que prohíben tus políticas.
• Políticas de admisión. Kyverno o Gatekeeper pueden detener las cargas de trabajo que incumplen tus reglas antes de que arranquen.

Las políticas de red, el análisis de imágenes, la detección en tiempo de ejecución y las políticas de admisión son opciones que activas por clúster.

Las correcciones se despliegan en las ventanas de servicio que elijas. Cuando una requiere un cambio en el repositorio de configuración, como una nueva versión de KubeAid o una nueva fecha de instantánea, llega primero como una rama para fusionar.