Sicurezza della piattaforma

Server (LinuxAid)

• Vulnerabilità note. Il portale elenca le CVE aperte di ogni server, con la gravità e la prossima finestra di aggiornamento.
• Fine vita. Un avviso scatta 75 giorni prima che la release del sistema operativo smetta di ricevere aggiornamenti di sicurezza gratuiti. Se la release ha un supporto esteso a pagamento, continua a scattare finché non termina anche quello.
• Firewall. Ogni server riporta come metriche i conteggi dei pacchetti del firewall per ogni regola, ma nessun avviso scatta per il traffico scartato.
• Hardening. SSH consente solo scambi di chiavi, cifrari e MAC robusti, tranne su RHEL 6. auditd può essere attivato per singolo server, e SELinux sui server della famiglia RHEL.
• Snapshot dei repository. Dove la tua configurazione fissa una data di snapshot, i pacchetti arrivano da quello snapshot. Il giorno prima di ogni ciclo di aggiornamento inviamo un branch che sposta in avanti la data, così ogni server del ciclo riceve gli stessi aggiornamenti una volta unito il branch.

Kubernetes (KubeAid)

• Sicurezza della supply chain.
  • Scansione delle immagini. Trivy analizza le immagini di container che usi e conserva le vulnerabilità critiche e alte che hanno una correzione. Sui cluster che inviano dati a Obmondo, il portale le mostra.
  • Mirror del registry. Harbor può fare il mirror di quelle immagini e analizzarle a sua volta.
• Firewall. Le network policy di Cilium possono filtrare il traffico in ingresso e in uscita. Cilium esporta ogni pacchetto scartato come metrica Hubble, ma nessun avviso scatta quando il traffico negato resta alto.
• Sicurezza a runtime. Tetragon registra l'esecuzione dei processi, il caricamento dei moduli del kernel e i cambi di privilegio, e segue gli accessi di rete e ai file solo quando viene aggiunta una policy apposita. KubeArmor può bloccare ciò che le tue policy vietano.
• Policy di ammissione. Kyverno o Gatekeeper possono fermare i carichi di lavoro che violano le tue regole prima che partano.

Network policy, scansione delle immagini, rilevamento a runtime e policy di ammissione sono opzioni che attivi per singolo cluster.

Le correzioni vengono distribuite nelle finestre di servizio che scegli. Quando una correzione richiede una modifica nel repository di configurazione, come una nuova versione di KubeAid o una nuova data di snapshot, arriva prima come branch da unire.