कुबेरनेट्स में 9 शीर्ष सुरक्षा अभ्यास

लगभग। ट्रांस। : कुबेरनेट्स पर सामान्य सुरक्षा सिफारिशों के साथ यह पहला लेख नहीं है जिसे हम अपने ब्लॉग पर अनुवाद करते हैं। हालांकि, इसकी प्रासंगिकता - कम से कम सरल और महत्वपूर्ण चीजों के अनुस्मारक के रूप में जो समय की कमी के कारण एक अंधे की आंख नहीं होनी चाहिए - केवल सामग्री की शुरुआत में लेखक द्वारा उल्लिखित हाल की घटनाओं से ही पुष्टि की जाती है। वैसे, लेखक कॉनर गिल्बर्ट है, जो स्टैकरॉक्स के लिए एक उत्पाद प्रबंधक है, जो कुबर्नेटेस समूहों के भीतर तैनात अनुप्रयोगों को सुरक्षित करने के लिए तैयार मंच है। तो, यहाँ वह है जो सीएनसीएफ ब्लॉग पाठकों को सलाह देता है ...

नायब : लेख को लेखक द्वारा उल्लिखित कुछ शर्तों / विधियों के लिए और अधिक जानकारीपूर्ण बनाने के लिए, हमने प्रासंगिक प्रलेखन के लिंक जोड़े।



पिछले महीने, दुनिया की सबसे लोकप्रिय कंटेनर ऑर्केस्ट्रेशन प्रणाली कुबेरनेट्स ने पहली बड़ी सुरक्षा भेद्यता की खोज की , जिसने परियोजना के पारिस्थितिकी तंत्र को प्रभावित किया। भेद्यता CVE-2018-1002105 कुबेरनेट्स एपीआई सर्वर के माध्यम से हमलावरों को क्लस्टर्स से समझौता करने की अनुमति देता है, जो मैलवेयर को इंस्टॉल करने के लिए दुर्भावनापूर्ण कोड को निष्पादित करने की अनुमति देता है, आदि।

इससे पहले वर्ष में, कुबेरनेट्स नियंत्रण कक्ष के गलत कॉन्फ़िगरेशन ने इस तथ्य को जन्म दिया कि टेस्ला संसाधनों में क्रिप्टोक्यूरेंसी खनन प्रणाली स्थापित थी । तब हमलावरों ने इस तथ्य का फायदा उठाया कि कुबेरनेट पैनल में से एक पासवर्ड संरक्षित नहीं था, जिसने उन्हें एडब्ल्यूएस में बड़े टेस्ला बुनियादी ढांचे तक पहुंचने के लिए खाते के साथ एक पॉड तक पहुंचने की अनुमति दी।

ऐसे संगठन जो कंटेनरों के कार्यान्वयन में तेजी लाते हैं और उनके ऑर्केस्ट्रेशन को भी अपने बुनियादी ढांचे के ऐसे महत्वपूर्ण हिस्से की सुरक्षा के लिए अनिवार्य कदम उठाने की आवश्यकता होती है। ग्राहक डेटा पर आधारित कुबेरनेट्स की सर्वोत्तम सुरक्षा प्रथाओं में से नौ नीचे हैं: अपने बुनियादी ढांचे की बेहतर सुरक्षा के लिए उनका अनुसरण करें।

1. नवीनतम संस्करण में अपडेट करें

[कुबेरनेट्स] के प्रत्येक त्रैमासिक रिलीज में न केवल बग फिक्स हैं, बल्कि नई सुरक्षा विशेषताएं भी हैं: उनका लाभ उठाने के लिए, हम नवीनतम स्थिर संस्करण के साथ काम करने की सलाह देते हैं।

नवीनतम पैच के साथ नवीनतम रिलीज का उपयोग सीवीई-2018-1002105 की हालिया खोज के प्रकाश में विशेष रूप से प्रासंगिक होगा। अपडेट और समर्थन रिलीज़ में दी जाने वाली नई सुविधाओं की तुलना में अधिक कठिन हो सकते हैं, इसलिए अपने अपडेट की योजना कम से कम एक तिमाही में एक बार बनाएं।

उल्लेखनीय रूप से सरल अद्यतन प्रबंधित Kubernetes- समाधान के प्रदाताओं का उपयोग कर सकते हैं।

2. भूमिका-आधारित अभिगम नियंत्रण (RBAC) सक्षम करें

कुबेरनेट एपीआई तक और कौन से अधिकार हैं, इसे नियंत्रित करने के लिए RBAC (रोल-बेस्ड एक्सेस कंट्रोल) का उपयोग करें। आमतौर पर, RBAC Kubernetes संस्करण 1.6 और उच्चतर (या बाद में कुछ प्रदाताओं के लिए) में डिफ़ॉल्ट रूप से सक्षम है, लेकिन यदि आप तब से अपडेट किए गए हैं और कॉन्फ़िगरेशन में बदलाव नहीं किया है, तो आपको अपनी सेटिंग्स को दोबारा जांचना चाहिए। उस तंत्र के कारण जिसके द्वारा कुबेरनेट्स में प्राधिकरण नियंत्रकों का काम संयुक्त है (संचालन के सामान्य अनुक्रम के लिए, " कुबर्नेट चलने पर क्या होता है " लेख पढ़ें । भाग 1 "- लगभग। अनुवाद। ) , आपके पास आरबीएसी और विरासत एबीएसी दोनों सक्षम होना चाहिए। (विशेषता-आधारित अभिगम नियंत्रण)।

हालांकि, आरबीएसी को सक्षम करना पर्याप्त नहीं है - इसे अभी भी प्रभावी ढंग से उपयोग करने की आवश्यकता है। सामान्य स्थिति में, कुछ नामस्थानों में अधिकारों को वरीयता देते हुए पूरे क्लस्टर (क्लस्टर-वाइड) के अधिकारों से बचा जाना चाहिए। डिबगिंग के लिए भी किसी को क्लस्टर व्यवस्थापक विशेषाधिकार देने से बचें - यह आवश्यक होने पर और समय-समय पर केवल अधिकार देने के लिए अधिक सुरक्षित है।

आप क्लस्टर भूमिकाएँ देख सकते हैं और केवल kubectl get clusterrolebinding साथ kubectl get clusterrolebinding कर सकते हैं kubectl get clusterrolebinding या kubectl get rolebinding --all-namespaces । और इसलिए आप जल्दी से जाँच कर सकते हैं कि cluster-admin भूमिका किसे cluster-admin (इस उदाहरण में, यह केवल masters समूह के लिए है):

 $ kubectl describe clusterrolebinding cluster-admin Name: cluster-admin Labels: kubernetes.io/boostrapping=rbac-defaults Annotations: rbac.authorization.kubernetes.io/autoupdate=true Role: Kind: ClusterRole Name: cluster-admin Subjects: Kind Name ---- ---- Group system:masters Namespace --------- 

यदि एप्लिकेशन को कुबेरनेट्स एपीआई तक पहुंच की आवश्यकता है, तो अलग-अलग सेवा खाते बनाएं ( इस सामग्री में उनके बारे में अधिक पढ़ें - एक्सएक्सएक्स। अनुवाद ) और उन्हें प्रत्येक उपयोग के मामले के लिए आवश्यक अधिकारों का न्यूनतम सेट दें। यह दृष्टिकोण नाम स्थान में डिफ़ॉल्ट खाते को बहुत अधिक विशेषाधिकार देने से बहुत बेहतर है।

अधिकांश एप्लिकेशन को एपीआई तक पहुंच की आवश्यकता नहीं है: आप उनके लिए false लिए automountServiceAccountToken सेट कर सकते हैं।

3. सुरक्षा सीमाओं को निर्धारित करने के लिए नेमस्पेस का उपयोग करें

घटक अलगाव के पहले स्तर के रूप में अलग नामस्थान बनाना महत्वपूर्ण है। सुरक्षा सेटिंग्स को समायोजित करना बहुत आसान है - उदाहरण के लिए, नेटवर्क नीतियां - जब विभिन्न प्रकार के वर्कलोड को अलग-अलग नामस्थानों में तैनात किया जाता है।

क्या आपकी टीम ने कुशलता से नामस्थानों का उपयोग किया है? गैर-मानक के लिए उनकी सूची देखें (डिफ़ॉल्ट रूप से नहीं बनाई गई):

 $ kubectl get ns NAME STATUS AGE default Active 16m kube-public Active 16m kube-system Active 16m 

4. अलग संवेदनशील कार्यभार।

समझौता के संभावित परिणामों को सीमित करने के लिए एक अच्छा अभ्यास मशीनों के एक समर्पित सेट पर संवेदनशील डेटा के साथ कार्यभार चलाना है। यह दृष्टिकोण एक कम सुरक्षित अनुप्रयोग के जोखिम को कम करता है जो एक ही कंटेनर निष्पादन योग्य वातावरण में या एक ही होस्ट पर चल रहे संवेदनशील डेटा के साथ एप्लिकेशन तक पहुंचता है। उदाहरण के लिए, एक समझौता किए गए नोड के एक क्यूबलेट में आमतौर पर रहस्यों की सामग्री तक पहुंच होती है, यदि वे फली पर लगाए जाते हैं जो उसी नोड पर निष्पादित होने के लिए निर्धारित होते हैं। यदि कई क्लस्टर नोड्स पर महत्वपूर्ण रहस्य पाए जा सकते हैं, तो एक हमलावर के पास उन्हें प्राप्त करने के अधिक अवसर होंगे।

नोड पूल - नोड पूल (क्लाउड में या ऑन-प्रिमाइसेस) का उपयोग करके पृथक्करण किया जा सकता है - साथ ही साथ कुबेरनेट्स नियंत्रण तंत्र, जैसे नामस्थान, टैन्ट्स , सहिष्णुता, और अन्य।

5. क्लाउड सेवा मेटाडेटा तक पहुँच को सुरक्षित रखें

संवेदनशील मेटाडेटा - उदाहरण के लिए, क्यूबलेट प्रशासनिक क्रेडेंशियल्स - एक क्लस्टर में विशेषाधिकारों को बढ़ाने के लिए दुर्भावनापूर्ण इरादे से चोरी या उपयोग किया जा सकता है। उदाहरण के लिए, Shopify के बग बाउंटी के भीतर एक हालिया खोज में विस्तार से दिखाया गया है कि कैसे एक उपयोगकर्ता एक क्लाउड प्रदाता से मेटाडेटा प्राप्त करके प्राधिकरण से अधिक कर सकता है, जिसमें से एक माइक्रोसॉर्क्स के लिए विशेष रूप से उत्पन्न डेटा का उपयोग करता है।

GKE में, मेटाडेटा पनाह समारोह, मेटाडेटा पनाह , क्लस्टर को इस तरह से तैनात करने के लिए तंत्र को बदल देता है जो इस तरह की समस्या से बचा जाता है, और हम इसका उपयोग स्थायी समाधान लागू होने तक करने की सलाह देते हैं।

अन्य वातावरणों में भी इसी तरह के प्रतिकारों की आवश्यकता हो सकती है।

6. क्लस्टर नेटवर्क नीतियों को बनाएं और परिभाषित करें

नेटवर्क नीतियां - नेटवर्क नीतियां - आपको कंटेनरीकृत अनुप्रयोगों से नेटवर्क पहुंच को नियंत्रित करने की अनुमति देती हैं। उनका उपयोग करने के लिए, आपके पास ऐसे संसाधन के लिए समर्थन के साथ एक नेटवर्क प्रदाता होना चाहिए; Google कुबेरनेट इंजन (GKE) जैसे प्रबंधित कुबेरनेट समाधान प्रदाताओं के लिए, समर्थन को सक्षम करने की आवश्यकता होगी। (जीके में मौजूदा समूहों के लिए नेटवर्क नीतियों को सक्षम करने के लिए एक छोटे से रोलिंग अपडेट की आवश्यकता होगी।)

एक बार सब कुछ तैयार हो जाने के बाद, सामान्य डिफ़ॉल्ट नेटवर्क नीतियों के साथ शुरू करें - अन्य नामस्थानों से ट्रैफ़िक (डिफ़ॉल्ट रूप से) अवरुद्ध करना।

यदि आप Google कंटेनर इंजन का उपयोग कर रहे हैं, तो आप जांच कर सकते हैं कि कार्य समूहों पर नीति समर्थन सक्षम है या नहीं:

 $ gcloud container clusters list \ --format='table[box] (name,addonsConfig.networkPolicyConfig)' 

7. क्लस्टर के लिए पॉड सुरक्षा नीति सेट करें।

पॉड सिक्योरिटी पॉलिसी - पॉड सिक्योरिटी पॉलिसी - क्लस्टर में वर्कलोड शुरू करने के लिए उपयोग किए जाने वाले डिफ़ॉल्ट मान सेट करता है। एक नीति को परिभाषित करने और पॉड सिक्योरिटी पॉलिसी प्रवेश नियंत्रक को सक्षम करने पर विचार करें: इन चरणों के लिए निर्देश क्लाउड प्रदाता या परिनियोजित मॉडल के आधार पर भिन्न होते हैं।

शुरुआत के लिए, आप कुछ प्रकार के स्पूफिंग हमलों से खुद को बचाने के लिए कंटेनरों में NET_RAW क्षमता NET_RAW चाह सकते NET_RAW ।

8. नोड सुरक्षा पर काम करें

होस्ट सुरक्षा को बेहतर बनाने के लिए, आप इन चरणों का पालन कर सकते हैं:

1. सुनिश्चित करें कि होस्ट सुरक्षित और सही तरीके से कॉन्फ़िगर किया गया है । एक तरीका है सीआईएस बेंचमार्क ; कई उत्पादों में एक ऑटोचैकर होता है जो स्वचालित रूप से इन मानकों के अनुपालन के लिए सिस्टम की जांच करता है।
2. महत्वपूर्ण बंदरगाहों की नेटवर्क उपलब्धता की निगरानी करें । सुनिश्चित करें कि नेटवर्क 10250 और 10255 सहित क्यूबलेट द्वारा उपयोग किए जाने वाले बंदरगाहों तक पहुंच को अवरुद्ध कर रहा है। विश्वसनीय नेटवर्क के अपवाद के साथ - कुबेरनेट एपीआई सर्वर तक पहुंच को प्रतिबंधित करने पर विचार करें। क्यूबलेट एपीआई में प्रमाणीकरण और प्राधिकरण की आवश्यकता नहीं करने वाले समूहों में, हमलावरों ने क्रिप्टोक्यूरेंसी लॉकर्स लॉन्च करने के लिए ऐसे बंदरगाहों तक पहुंच का उपयोग किया।
3. कुबेरनेट मेजबानों के लिए प्रशासनिक पहुंच को कम करना । क्लस्टर नोड्स तक पहुंच सीमित होना चाहिए: डिबगिंग और अन्य समस्याओं को हल करने के लिए, एक नियम के रूप में, आप नोड तक सीधे पहुंच के बिना कर सकते हैं।

9. ऑडिट लॉगिंग सक्षम करें

सुनिश्चित करें कि ऑडिट लॉग सक्षम हैं और आप उनमें असामान्य या अवांछित एपीआई कॉल की घटना के लिए निगरानी कर रहे हैं, विशेष रूप से किसी भी प्राधिकरण विफलताओं के संदर्भ में - ऐसी प्रविष्टियों में "निषिद्ध" स्थिति के साथ एक संदेश होगा। प्राधिकरण विफलताओं का मतलब यह हो सकता है कि एक हमलावर प्राप्त साख का लाभ उठाने की कोशिश कर रहा है।

प्रबंधित समाधान प्रदाता (GKE सहित) अपने इंटरफेस में इस डेटा तक पहुँच प्रदान करते हैं और प्राधिकरण विफलताओं के मामले में सूचनाएँ सेट करने में आपकी सहायता कर सकते हैं।

भविष्य की तलाश में

अधिक सुरक्षित कुबेरनेट क्लस्टर के लिए इन दिशानिर्देशों का पालन करें। याद रखें कि क्लस्टर सुरक्षित रूप से कॉन्फ़िगर किए जाने के बाद भी, आपको कंटेनरों के कॉन्फ़िगरेशन और संचालन के अन्य पहलुओं में सुरक्षा सुनिश्चित करनी चाहिए। प्रौद्योगिकी स्टैक की सुरक्षा में सुधार करने के लिए, उन उपकरणों का पता लगाएं, जो तैनात कंटेनरों के प्रबंधन के लिए एक केंद्रीय प्रणाली प्रदान करते हैं, कंटेनर और क्लाउड मूल अनुप्रयोगों की लगातार निगरानी और सुरक्षा करते हैं।

अनुवादक से पी.एस.

हमारे ब्लॉग में भी पढ़ें:

• " 11 तरीके (नॉट) कुबेरनेट्स हैकिंग का शिकार बनें ";
• " कुबेरनेट्स पर आरबीएसी को समझना ";
• " OPA और SPIFFE - क्लाउड एप्लिकेशन सिक्योरिटी के लिए सीएनसीएफ में दो नई परियोजनाएं ";
• " कमजोर डॉकटर वीएम - डॉकटर और पंचिंग द्वारा एक आभासी पहेली खेल ";
• " Google द्वारा प्रैक्टिस करने वाले 7 सर्वश्रेष्ठ कंटेनर ।"