Platformbeveiliging

Servers (LinuxAid)

• Bekende kwetsbaarheden. Het portaal toont de openstaande CVE's van elke server, met de ernst en het volgende updatevenster.
• End-of-life. Vanaf 75 dagen voordat een OS-release geen gratis beveiligingsupdates meer krijgt, gaat er een alert af. Heeft de release betaalde verlengde ondersteuning, dan blijft die afgaan tot ook die afloopt.
• Firewall. Elke server meldt per regel de pakkettellingen van zijn firewall als metrics, maar er gaat geen alert af bij geweigerd verkeer.
• Hardening. SSH staat alleen sterke key exchange, ciphers en MAC's toe, behalve op RHEL 6. auditd kan per server worden aangezet, en SELinux op servers uit de RHEL-familie.
• Repositorysnapshots. Waar je configuratie een snapshotdatum vastpint, komen de pakketten uit die snapshot. De dag voor elke updatecyclus pushen we een branch die de datum vooruitzet, zodat elke server in de cyclus dezelfde updates krijgt zodra die is gemerged.

Kubernetes (KubeAid)

• Beveiliging van de supply chain.
  • Scannen van images. Trivy scant de containerimages die je draait en bewaart de kritieke en hoge bevindingen waarvoor een fix bestaat. Op clusters die aan Obmondo rapporteren, toont het portaal ze.
  • Registrymirror. Harbor kan die images spiegelen en ook scannen.
• Firewall. Netwerkpolicy's van Cilium kunnen inkomend en uitgaand verkeer filteren. Cilium exporteert elk gedropt pakket als Hubble-metric, maar er gaat geen alert af als het geweigerde verkeer hoog blijft.
• Runtimebeveiliging. Tetragon legt het uitvoeren van processen, het laden van kernelmodules en wijzigingen in rechten vast, en volgt netwerk- en bestandstoegang pas zodra daar een policy voor is toegevoegd. KubeArmor kan blokkeren wat je policy's verbieden.
• Admissionpolicy's. Kyverno of Gatekeeper kunnen workloads die je regels overtreden tegenhouden voordat ze starten.

Netwerkpolicy's, het scannen van images, runtimedetectie en admissionpolicy's zijn opties die je per cluster aanzet.

Fixes worden uitgerold in de servicevensters die jij kiest. Vraagt een fix om een wijziging in de configrepository, zoals een nieuwe KubeAid-versie of snapshotdatum, dan komt die eerst als branch om te mergen.