Bezpieczeństwo platformy

Serwery (LinuxAid)

• Znane podatności. Portal pokazuje otwarte CVE każdego serwera wraz z wagą i najbliższym oknem aktualizacji.
• Koniec wsparcia. Alert uruchamia się 75 dni przed tym, jak wydanie systemu przestaje dostawać bezpłatne aktualizacje bezpieczeństwa. Jeśli wydanie ma płatne rozszerzone wsparcie, alert działa, dopóki i ono się nie skończy.
• Zapora. Każdy serwer raportuje jako metryki liczniki pakietów dla każdej reguły zapory, ale żaden alert nie uruchamia się przy odrzuconym ruchu.
• Utwardzanie. SSH dopuszcza tylko silne algorytmy wymiany kluczy, szyfry i MAC, z wyjątkiem RHEL 6. auditd można włączyć na każdym serwerze z osobna, a SELinux — na serwerach z rodziny RHEL.
• Snapshoty repozytoriów. Jeśli twoja konfiguracja przypina datę snapshotu, pakiety pochodzą z tego snapshotu. Dzień przed każdym cyklem aktualizacji wypychamy gałąź, która przesuwa datę do przodu, więc po jej scaleniu każdy serwer w cyklu dostaje te same aktualizacje.

Kubernetes (KubeAid)

• Bezpieczeństwo łańcucha dostaw.
  • Skanowanie obrazów. Trivy skanuje używane przez ciebie obrazy kontenerów i zachowuje krytyczne i wysokie znaleziska, które mają poprawkę. W klastrach raportujących do Obmondo pokazuje je portal.
  • Mirror rejestru. Harbor może mirrorować te obrazy i również je skanować.
• Zapora. Polityki sieciowe Cilium mogą filtrować ruch przychodzący i wychodzący. Cilium eksportuje każdy odrzucony pakiet jako metrykę Hubble, ale żaden alert nie uruchamia się, gdy odrzucanego ruchu jest stale dużo.
• Bezpieczeństwo w czasie działania. Tetragon rejestruje wykonywanie procesów, ładowanie modułów jądra i zmiany uprawnień, a dostęp do sieci i plików śledzi dopiero po dodaniu odpowiedniej polityki. KubeArmor może blokować to, czego zabraniają twoje polityki.
• Polityki dopuszczania. Kyverno lub Gatekeeper mogą zatrzymać obciążenia łamiące twoje reguły, zanim się uruchomią.

Polityki sieciowe, skanowanie obrazów, wykrywanie w czasie działania i polityki dopuszczania to opcje, które włączasz dla każdego klastra z osobna.

Poprawki są wdrażane w wybranych przez ciebie oknach serwisowych. Gdy poprawka wymaga zmiany w repozytorium konfiguracji, np. nowej wersji KubeAid lub daty snapshotu, najpierw przychodzi jako gałąź do scalenia.