Недавно мы представили MWS Container Platform — платформу для управления приложениями и инфраструктурой на базе Kubernetes. А сегодня в статье предлагаем взглянуть на гайды по теме ИБ при работе с оркестратором: базовые материалы для начинающих, референсы для опытных инженеров и разборы распространенных ошибок. В целом материалам будет полезен системным администраторам, DevOps-инженерам и тем, кто начинает работать с Kubernetes.

Устройство Kubernetes-инфраструктуры для начинающих

Команда Hunters Security подготовила руководство для тех, кто только изучает устройство Kubernetes-инфраструктуры. Сперва авторы разбирают ключевые понятия: контейнеры, поды, узлы, кластеры, а также сетевые компоненты и объекты конфигурации (ConfigMaps, Secrets). Затем переходят к продвинутым темам и лучшим практикам безопасности. 

Среди ключевых тем: 

• работа с сетевыми политиками для контроля трафика между подами;

• сканирование образов на уязвимости; 

• настройка резервного копирования для отказоустойчивости. 

Отдельное внимание уделено минимизации привилегий — авторы показывают, как управлять правами, чтобы снизить риски несанкционированного доступа к API-серверу или секретам.

Один из интересных подразделов (most fun chapter — так о ней отзываются авторы), посвящен обнаружению угроз и расследованию инцидентов. В нем даются пошаговые рекомендации по анализу подозрительных событий. Например, рассматриваются сценарии подмены пользователя (impersonation attempt) и role binding с выдачей высоких прав, а также необходимые действия для анализа рисков и работы с ними. 

В целом компактное руководство можно использовать как вводный ИБ-курс по Kubernetes, который поможет освоить ключевые методы защиты.

Инфраструктурный референс

Инженер Ларс Солберг составил п̶р̶о̶с̶т̶у̶ю̶ наглядную схему, чтобы упростить обсуждение вопросов безопасности Kubernetes внутри своей команды. На схеме отражены ключевые компоненты: кластеры, виртуальные машины, поды, а также системная логика — например, интеграция с ACME API и BGP. 

При этом схема интерактивна — при наведении курсора на маркеры появляются подсказки с описанием компонентов.

Однако, как отмечает автор, местами его «шпаргалка» может показаться избыточной — так, некоторые детали (например, разделение типов трафика Ingress/Egress/Both) необязательны для базового понимания, но полезны при углубленном анализе. 

Стоит отметить, что схема достаточно общая и может использоваться как шаблон или служить инструментом для самостоятельного изучения. В то же время она опубликована под лицензией MIT — и её можно модифицировать под свои задачи. 

Инструкции по внесению изменений и история правок отражена в репозитории на GitHub. 

Self-healing-инфраструктура

Компания City Storage Systems, специализирующаяся на разработке инфраструктуры платформ для доставки еды, ведет блог, где публикует технические материалы. В одной из таких статей компания делится опытом и нюансами построения самовосстанавливающейся инфраструктуры на базе Kubernetes. Материал подготовила команда инженеров, работающая над ключевыми системами фирмы.

Изначально функции самодиагностики и самовосстановления были реализованы в виде монолитного приложения. Позже решение переросло во фреймворк с двумя модулями: один отвечает за обнаружение проблем, а другой — за их устранение. Модули работают как на уровне кластера, так и на уровне узлов, автоматизируя процессы восстановления. Среди типичных задач — исправление ошибок StatefulSet на недоступных узлах, а также устранение сетевых сбоев и проблем с миграцией ОС.

По словам авторов, построение такой self-healing-инфраструктуры сократило время её поддержки вдвое. В будущем команда планирует расширять фреймворк, добавляя модули для обработки низкоуровневых сетевых проблем, оптимизации использования CPU и исправления ошибок в приложениях, чтобы масштабировать платформу с минимальными затратами на обслуживание.

Концепция Shift-Down Security

Документ Shift-Down Security (опубликованный под лицензией Apache 2.0) составила рабочая группа фонда Cloud Native Computing Foundation, поддерживающего экосистему облачных технологий с открытым кодом. Среди авторов также числятся специалисты из таких компаний, как Google, PwC и IBM. 

Документ может быть полезен специалистам по безопасности, руководителям (CSO, CISO, CTO), архитекторам, менеджерам и разработчикам. Инженеры объясняют, почему традиционные методы защиты контейнеров не подходят для динамичных облачных сред и предлагают новый интегрированный подход — Shift-Down Security.

В документе описаны ключевые проблемы экосистемы: уязвимости, некорректные настройки систем, а также риски, связанные с безопасностью цепочек поставок ПО. Для их решения предлагаются конкретные рекомендации — например, формировать «золотые образы» контейнеров, чтобы сократить вероятность возникновения уязвимостей, или использовать контроллеры доступа (admission controllers) для предотвращения ошибок конфигурации.

Пять ошибок безопасности

Торстен Волк — исследователь в области систем ИИ, машинного обучения и DevOps написал статью, посвященную распространенным ошибкам при работе с Kubernetes, которые чаще других приводят к возникновению инцидентов безопасности.

Например, к одной из проблем он относит обилие уведомлений об инцидентах без пояснений: когда системы защиты посылают сигналы без фильтрации и расстановки приоритетов, становится трудно отделить важные угрозы от незначительных. В результате специалисты по безопасности буквально «тонут» в потоке оповещений, рискуя упустить действительно серьёзные инциденты. 

Даже такая простая вещь, как некорректная расстановка отступов в YAML-файлах может привести к серьёзным проблемам безопасности — вплоть до несанкционированного доступа к кластеру.

Также в своем руководстве Волк предлагает использовать Extended Berkeley Packet Filter (eBPF), которая позволяет выполнять программы в виртуализированной среде прямо в пространстве ядра Linux. Она основана на Berkeley Packet Filter (BPF), который применялся для фильтрации сетевых пакетов — например, в tcpdump. С eBPF проще отличать ложные тревоги от настоящих угроз, анализируя системные вызовы и сетевой трафик. Также eBPF может находить ошибки в конфигурациях.

В целом материал Торстена Волка будет интересен DevOps-инженерам и специалистам по защите данных, а также разработчикам микросервисов.