33+ कुबेरनेट सुरक्षा उपकरण

लगभग। ट्रांस। : यदि आप कुबेरनेट्स-आधारित अवसंरचना में सुरक्षा के बारे में सोच रहे हैं, तो Sysdig की यह शानदार समीक्षा आज के अप-टू-डेट समाधानों की त्वरित झलक के लिए एक शानदार शुरुआत होगी। इसमें प्रसिद्ध बाजार के खिलाड़ियों से एकीकृत सिस्टम और बहुत अधिक मामूली उपयोगिताओं शामिल हैं जो इस या उस समस्या को बंद करते हैं। और टिप्पणियों में, हमेशा की तरह, हम इन उपकरणों का उपयोग करने में आपके अनुभव के बारे में जानने और अन्य परियोजनाओं के लिंक देखने में प्रसन्न होंगे।


कुबेरनेट्स सुरक्षा सॉफ्टवेयर उत्पाद ... बहुत सारे हैं, और प्रत्येक के अपने लक्ष्य, गुंजाइश और लाइसेंस हैं।

यही कारण है कि हमने इस सूची को बनाने का फैसला किया और इसमें विभिन्न आपूर्तिकर्ताओं के ओपन प्रोजेक्ट और कमर्शियल प्लेटफॉर्म शामिल हैं। हमें उम्मीद है कि यह आपको उन लोगों को चुनने में मदद करेगा जो सबसे अधिक रुचि रखते हैं और कुबेरनेट की विशिष्ट सुरक्षा आवश्यकताओं के आधार पर सही दिशा में भेजे जाएंगे।

श्रेणी

सूची के माध्यम से नेविगेशन को सरल बनाने के लिए, उपकरणों को मुख्य कार्यों और आवेदन के क्षेत्रों में विभाजित किया गया है। निम्नलिखित खंड निकले हैं:

• Kubernetes छवि स्कैनिंग और स्थैतिक विश्लेषण;
• सुरक्षा क्रम;
• कुबेरनेट्स नेटवर्क सुरक्षा;
• छवियों और रहस्यों के प्रबंधन का प्रसार;
• कुबेरनेट्स सुरक्षा ऑडिट;
• व्यापक वाणिज्यिक उत्पादों।

चलो व्यापार के लिए नीचे उतरो:

कुबेरनेट्स इमेज स्कैन

Anchore

• वेबसाइट: anchore.com
• लाइसेंस: मुफ्त (अपाचे) और वाणिज्यिक प्रस्ताव

एंकर पैकेज कंटेनर छवियों का विश्लेषण करता है और आपको उपयोगकर्ता-परिभाषित नीतियों के आधार पर सुरक्षा जांच करने की अनुमति देता है।

सीवीई डेटाबेस से ज्ञात कमजोरियों के लिए कंटेनर छवियों की सामान्य स्कैनिंग के अलावा, एंकर स्कैनिंग पॉलिसी के हिस्से के रूप में कई अतिरिक्त जांच करता है: यह डॉकरफाइल, क्रेडेंशियल रिसाव, प्रयुक्त प्रोग्रामिंग भाषाओं के पैकेज (एनपीएम, मावेन, आदि), सॉफ्टवेयर लाइसेंस और बहुत कुछ जांचता है। ।

क्लैर

• वेबसाइट: coreos.com/clair (अब Red Hat हिरासत के तहत)
• लाइसेंस: मुफ्त (अपाचे)

छवियों को स्कैन करने के लिए क्लेयर पहले ओपन सोर्स प्रोजेक्ट्स में से एक था। इसे व्यापक रूप से Quay छवि रजिस्ट्री (CoreOS - लगभग। ट्रांसलेशन से अंतर्निहित) के रूप में सुरक्षा स्कैनर के रूप में जाना जाता है। क्लेयर सीवीई जानकारी को स्रोतों की एक विस्तृत श्रृंखला से एकत्र कर सकते हैं, जिसमें लिनक्स-विशिष्ट कमजोरियों की सूची शामिल है जो डेबियन, रेड हैट या उबंटू सुरक्षा टीमों द्वारा बनाए रखी गई हैं।

एंकर के विपरीत, क्लेयर मुख्य रूप से सीवीई को भेद्यता खोज और मैपिंग डेटा से संबंधित है। हालाँकि, उत्पाद उपयोगकर्ताओं को प्लग-इन ड्राइवरों का उपयोग करके कार्यों के विस्तार के लिए कुछ विकल्प प्रदान करता है।

Dagda

• वेबसाइट: github.com/eliasgranderubio/dagda
• लाइसेंस: मुफ्त (अपाचे)

दगडा ज्ञात कमजोरियों, ट्रोजन, वायरस, मैलवेयर और अन्य खतरों के लिए कंटेनर छवियों का एक स्थिर विश्लेषण करता है।

इसी तरह के अन्य साधनों से, दगडा पैकेज दो उल्लेखनीय विशेषताओं द्वारा प्रतिष्ठित है:

• यह पूरी तरह से ClamAV के साथ एकीकृत है, न केवल कंटेनर छवियों को स्कैन करने के लिए एक उपकरण के रूप में, बल्कि एक एंटीवायरस के रूप में भी कार्य करता है।
• यह डॉकटर डेमन से वास्तविक समय की घटनाओं को प्राप्त करके और फाल्को (नीचे देखें) के साथ समेकित करके सुरक्षा घटनाओं को इकट्ठा करने के लिए रनटाइम सुरक्षा प्रदान करता है, जबकि कंटेनर चल रहा है।

KubeXray

• वेबसाइट: github.com/jfrog/kubexray
• लाइसेंस: नि: शुल्क (Apache), लेकिन JFrog एक्सरे (वाणिज्यिक उत्पाद) से डेटा की आवश्यकता होती है

Kubernetes API सर्वर ईवेंट के लिए KubeXray "सुनता है" और JFrog Xray से मेटाडेटा का उपयोग करता है ताकि यह सुनिश्चित हो सके कि वर्तमान पॉलिसी से मेल खाते हुए पॉड्स लॉन्च किए गए हैं।

KubeXray न केवल तैनाती में नए या अपडेट किए गए कंटेनरों का ऑडिट करता है (कुबेरनेट्स में प्रवेश नियंत्रक के समान), लेकिन नई सुरक्षा नीतियों के अनुपालन के लिए काम करने वाले कंटेनरों की गतिशील रूप से जांच भी करता है, जो कमजोर छवियों को संदर्भित करने वाले संसाधनों को हटाते हैं।

Snyk

• वेबसाइट: snyk.io
• लाइसेंस: मुफ्त (अपाचे) और वाणिज्यिक संस्करण

Snyk इस अर्थ में एक असामान्य भेद्यता स्कैनर है कि यह विशेष रूप से विकास प्रक्रिया को लक्षित करता है और इसे डेवलपर्स के लिए "अपरिहार्य समाधान" के रूप में प्रचारित किया जाता है।

Snyk सीधे कोड रिपॉजिटरी से जुड़ जाता है, परियोजना के प्रकटन को पार्स करता है और प्रत्यक्ष और अप्रत्यक्ष रूप से आयातित कोड को पार्स करता है। Snyk कई लोकप्रिय प्रोग्रामिंग भाषाओं का समर्थन करता है और छिपी लाइसेंसिंग जोखिमों का पता लगा सकता है।

Trivy

• वेबसाइट: github.com/knqyf263/trivy
• लाइसेंस: नि: शुल्क (AGPL)

Trivy एक सरल लेकिन शक्तिशाली कंटेनर भेद्यता स्कैनर है जिसे आसानी से CI / CD पाइपलाइन में एकीकृत किया जा सकता है। इसकी उल्लेखनीय विशेषता स्थापना और संचालन में आसानी है: आवेदन में एक एकल बाइनरी होता है और इसमें डेटाबेस या अतिरिक्त पुस्तकालयों की स्थापना की आवश्यकता नहीं होती है।

त्रिवेदी की सादगी का नकारात्मक पहलू यह है कि आपको यह पता लगाना है कि पार्स को कैसे करें और परिणाम JSON प्रारूप में भेजें ताकि अन्य Kubernetes सुरक्षा उपकरण उनका उपयोग कर सकें।

कुबेरनेट्स रनटाइम सुरक्षा

फाल्को

• वेबसाइट: falco.org
• लाइसेंस: मुफ्त (अपाचे)

फाल्को रनटाइम टूल्स का क्लाउड सिक्योरिटी सूट है। यह सीएनसीएफ परियोजना परिवार का हिस्सा है।

लिनक्स कर्नेल स्तर और प्रोफाइलिंग कॉल पर काम करने के लिए Sysdig टूलकिट का उपयोग करते हुए, फाल्को आपको सिस्टम के व्यवहार में गहराई से गोता लगाने की अनुमति देता है। इसका रनटाइम नियम इंजन कुबेरनेट्स अनुप्रयोगों, कंटेनरों, बेस होस्ट और ऑर्केस्ट्रा में संदिग्ध गतिविधि का पता लगाने में सक्षम है।

फाल्को इन उद्देश्यों के लिए कुबेरनेट्स साइटों पर विशेष एजेंट स्थापित करके रनटाइम के काम और खतरों का पता लगाने में पूरी पारदर्शिता प्रदान करता है। परिणामस्वरूप, तृतीय-पक्ष कोड को एम्बेड करके या साइडकार कंटेनर लटकाकर कंटेनरों को संशोधित करने की कोई आवश्यकता नहीं है।

रनटाइम के लिए लिनक्स सुरक्षा ढांचे

ये मूल लिनक्स कर्नेल फ्रेमवर्क सामान्य अर्थ में "कुबेरनेट्स सुरक्षा उपकरण" नहीं हैं, लेकिन उल्लेख के योग्य हैं क्योंकि वे रनटाइम में सुरक्षा के संदर्भ में एक महत्वपूर्ण तत्व हैं, जो कुबेरनेट्स पॉड सिक्योरिटी पॉलिसी (PSP) में शामिल है।

AppArmor कंटेनर में चलने वाली प्रक्रियाओं, फ़ाइल सिस्टम विशेषाधिकारों को परिभाषित करने, नेटवर्क एक्सेस नियमों, पुस्तकालयों को जोड़ने आदि से सुरक्षा प्रोफ़ाइल को जोड़ता है। यह एक अनिवार्य प्रवेश नियंत्रण (मैक) आधारित प्रणाली है। दूसरे शब्दों में, यह निषिद्ध कार्यों के निष्पादन को रोकता है।

सुरक्षा-संवर्धित लिनक्स ( SELinux ) लिनक्स कर्नेल में एक उन्नत सुरक्षा मॉड्यूल है, कुछ पहलुओं में AppArmor के समान और अक्सर इसकी तुलना में। SELinux पावर, लचीलापन और सूक्ष्मता सेटिंग्स में AppArmor से बेहतर है। इसके नुकसान लंबे विकास और बढ़ी हुई जटिलता हैं।

Seccomp और seccomp-bpf आपको सिस्टम कॉल को फ़िल्टर करने की अनुमति देते हैं, उन लोगों के निष्पादन को रोकते हैं जो अंतर्निहित OS के लिए संभावित रूप से खतरनाक हैं और उपयोगकर्ता अनुप्रयोगों के सामान्य संचालन के लिए आवश्यक नहीं हैं। कुछ बिंदुओं पर Seccomp फाल्को के समान है, हालांकि यह कंटेनरों की बारीकियों को नहीं जानता है।

Sysdig खुला स्रोत

• वेबसाइट: www.sysdig.com/opensource
• लाइसेंस: मुफ्त (अपाचे)

Sysdig लिनक्स सिस्टम के विश्लेषण, निदान और डिबगिंग के लिए एक पूर्ण उपकरण है (विंडोज और मैकओएस पर काम करता है, लेकिन सीमित सुविधाओं के साथ)। इसका उपयोग आधार प्रणाली की विस्तृत जानकारी, जांच और आपराधिक फोरेंसिक और उस पर चलने वाले किसी भी कंटेनर को इकट्ठा करने के लिए किया जा सकता है।

Sysdig मूल रूप से कंटेनर रनटाइम और Kubernetes मेटाडेटा का भी समर्थन करता है, सिस्टम व्यवहार के बारे में एकत्रित सभी सूचनाओं के लिए अतिरिक्त आयाम और लेबल जोड़ता है। Sysdig का उपयोग करके कुबेरनेट क्लस्टर का विश्लेषण करने के कई तरीके हैं: आप समय पर एक विशेष बिंदु पर kubectl कैप्चर के माध्यम से कैप्चर कर सकते हैं या आप kubectl dig प्लगइन का उपयोग करके ncurses के आधार पर एक इंटरैक्टिव इंटरफ़ेस चला सकते हैं।

Kubernetes नेटवर्क सुरक्षा

Aporeto

• वेबसाइट: www.aporeto.com
• लाइसेंस: वाणिज्यिक

Aporeto प्रदान करता है "सुरक्षा नेटवर्क और बुनियादी ढांचे से अलग।" इसका मतलब यह है कि कुबेरनेट सेवाओं को न केवल एक स्थानीय आईडी प्राप्त होती है (अर्थात, कुबेरनेट्स में सर्विसअकाउंट), बल्कि एक सार्वभौमिक पहचानकर्ता / फिंगरप्रिंट का भी उपयोग किया जा सकता है जो किसी अन्य सेवा के साथ बातचीत और सुरक्षित रूप से सत्यापित करने के लिए उपयोग किया जा सकता है, उदाहरण के लिए, ओपनशफ्ट क्लस्टर में।

Aporeto न केवल Kubernetes / कंटेनरों के लिए, बल्कि मेजबानों, क्लाउड फ़ंक्शंस और उपयोगकर्ताओं के लिए भी एक विशिष्ट पहचानकर्ता बनाने में सक्षम है। इन पहचानकर्ताओं और व्यवस्थापक द्वारा निर्धारित नेटवर्क सुरक्षा नियमों के सेट के आधार पर, संचारों को अनुमति दी जाएगी या अवरुद्ध किया जाएगा।

कैलिकौ

• वेबसाइट: www.projectcalico.org
• लाइसेंस: मुफ्त (अपाचे)

कैलिको आमतौर पर कंटेनर ऑर्केस्ट्रेटर की स्थापना के दौरान तैनात किया जाता है, जो आपको कंटेनर कनेक्ट करने वाला एक वर्चुअल नेटवर्क बनाने की अनुमति देता है। इस बुनियादी नेटवर्क कार्यक्षमता के अलावा, कैलिको प्रोजेक्ट कुबेरनेट नेटवर्क नीतियों और नेटवर्क सुरक्षा प्रोफाइल के अपने स्वयं के सेट के साथ काम करता है, एंडपॉइंट एसीएल (एक्सेस कंट्रोल लिस्ट) का समर्थन करता है और इंग्रिड और इगोर ट्रैफिक के लिए एनोटेशन-आधारित नेटवर्क सुरक्षा नियमों का समर्थन करता है।

पपनी

• वेबसाइट: www.cilium.io
• लाइसेंस: मुफ्त (अपाचे)

सिलियम एक कंटेनर फ़ायरवॉल के रूप में कार्य करता है और नेटवर्क सुरक्षा सुविधाएँ प्रदान करता है जो मूल रूप से कुबेरनेट्स और माइक्रोसेवर वर्कलोड के लिए अनुकूल हैं। Cilium डेटा को फ़िल्टर करने, मॉनिटर करने, रीडायरेक्ट करने और समायोजित करने के लिए BPF (बर्कले पैकेट फ़िल्टर) नामक एक नई लिनक्स कर्नेल तकनीक का उपयोग करता है।

सीलियम डॉकटर या कुबेरनेट्स टैग और मेटाडेटा का उपयोग करके कंटेनर-आधारित नेटवर्क एक्सेस नीतियों को तैनात करने में सक्षम है। सिलियम विभिन्न परत 7 प्रोटोकॉल को भी समझता और फ़िल्टर करता है, जैसे HTTP या gRPC, आपको REST कॉल के एक सेट को परिभाषित करने की अनुमति देता है, उदाहरण के लिए, दो कुबेरनेट तैनाती के बीच अनुमति दी जाएगी।

Istio

• वेबसाइट: istio.io
• लाइसेंस: मुफ्त (अपाचे)

इस्तियो को व्यापक रूप से प्लेटफ़ॉर्म-स्वतंत्र नियंत्रण विमान को तैनात करने और गतिशील रूप से कॉन्फ़िगर किए गए दूत प्रॉक्सि के माध्यम से सभी प्रबंधित सेवा ट्रैफ़िक को पुनर्निर्देशित करके सर्विस मेष प्रतिमान के कार्यान्वयन के रूप में जाना जाता है। इस्टियो विभिन्न नेटवर्क सुरक्षा रणनीतियों को लागू करने के लिए सभी माइक्रोसर्विस और कंटेनरों के इस उन्नत दृष्टिकोण का लाभ उठाता है।

Istio की नेटवर्क सुरक्षा क्षमताओं में पारदर्शी TLS एन्क्रिप्शन शामिल है जो क्लस्टर में विभिन्न वर्कलोड के बीच डेटा के आदान-प्रदान को सक्षम / अक्षम करने के लिए पहचान और प्राधिकरण के लिए माइक्रोसर्ट्स के बीच संचार प्रोटोकॉल को स्वचालित रूप से HTTPS और इसकी स्वयं की RBAC प्रणाली में अपग्रेड करने के लिए शामिल है।

लगभग। ट्रांस। : इस लेख में Istio के सुरक्षा उन्मुख विशेषताओं के बारे में और पढ़ें।

Tigera

• वेबसाइट: www.tigera.io
• लाइसेंस: वाणिज्यिक

कुबेरनेट्स फ़ायरवॉल नामक यह समाधान एक शून्य-विश्वास नेटवर्क सुरक्षा दृष्टिकोण पर केंद्रित है।

कुबेरनेट्स के मूल निवासी अन्य नेटवर्क समाधानों के समान, तिगेरा क्लस्टर में विभिन्न सेवाओं और वस्तुओं की पहचान करने के लिए मेटाडेटा पर निर्भर है और मल्टी-क्लाउड या हाइब्रिड अखंड-कंटेनर इन्फ्रास्ट्रक्चर के लिए रनटाइम समस्या का पता लगाने, निरंतर नेटवर्क अनुपालन और पारदर्शिता निगरानी प्रदान करता है।

trireme

• वेबसाइट: www.aporeto.com/opensource
• लाइसेंस: मुफ्त (अपाचे)

ट्रूब्रीम-कुबेरनेट्स कुबेरनेट्स नेटवर्क नीतियां विनिर्देश का एक सरल और सीधा कार्यान्वयन है। सबसे उल्लेखनीय विशेषता यह है कि - समान कुबेरनेट्स नेटवर्क सुरक्षा उत्पादों के विपरीत - यह मेष को समन्वित करने के लिए एक केंद्रीय नियंत्रण विमान की आवश्यकता नहीं है। यह समाधान को मामूली रूप से मापनीय बनाता है। Trireme में, यह प्रत्येक नोड पर एक एजेंट स्थापित करके प्राप्त किया जाता है जो होस्ट के टीसीपी / आईपी स्टैक से सीधे जुड़ता है।

छवि प्रसार और राज प्रबंधन

Grafeas

• वेबसाइट: grafeas.io
• लाइसेंस: मुफ्त (अपाचे)

Grafeas आपूर्ति श्रृंखला के लेखा परीक्षा और प्रबंधन के लिए एक खुला स्रोत एपीआई है। एक बुनियादी स्तर पर, ग्राफ्ट्स मेटाडेटा एकत्र करने और ऑडिट परिणामों के लिए एक उपकरण है। इसका उपयोग संगठन में सर्वोत्तम सुरक्षा प्रथाओं के अनुपालन को ट्रैक करने के लिए किया जा सकता है।

सत्य का यह केंद्रीकृत स्रोत सवालों के जवाब देने में मदद करता है जैसे:

• किसने इकट्ठा किया और विशिष्ट कंटेनर पर हस्ताक्षर किए?
• क्या यह सभी सुरक्षा स्कैनर और सुरक्षा नीति जांच पास कर चुका है? कब? परिणाम क्या थे?
• इसे उत्पादन के लिए किसने तैनात किया? तैनाती के दौरान किन मापदंडों का उपयोग किया गया था?

इन-टोटो

• वेबसाइट: in-toto.imtqy.com
• लाइसेंस: मुफ्त (अपाचे)

इन-टोटू एक ऐसा ढांचा है जिसे संपूर्ण सॉफ्टवेयर आपूर्ति श्रृंखला की अखंडता, प्रमाणीकरण और ऑडिट सुनिश्चित करने के लिए डिज़ाइन किया गया है। बुनियादी ढांचे में इन-टोटो को तैनात करते समय, एक योजना पहले निर्धारित की जाती है जो पाइपलाइन में विभिन्न चरणों (रिपॉजिटरी, सीआई / सीडी टूल्स, क्यूए टूल्स, आर्टिफिशियल कलेक्टर, आदि) और उपयोगकर्ताओं (जिम्मेदार व्यक्तियों) को बताती है, जिन्हें उन्हें आरंभ करने की अनुमति है।

इन-टोटो योजना के कार्यान्वयन की निगरानी करता है, यह जाँचता है कि श्रृंखला में प्रत्येक कार्य को विशेष रूप से अधिकृत कर्मियों द्वारा ठीक से किया जाता है और उत्पाद के साथ कोई अनधिकृत हेरफेर नहीं किया गया है।

Portieris

• वेबसाइट: github.com/IBM/portieris
• लाइसेंस: मुफ्त (अपाचे)

पोर्टिएरिस कुबेरनेट्स के लिए एक प्रवेश नियंत्रक है; इसका उपयोग सामग्री में विश्वास पर मजबूर जांच के लिए किया जाता है। पोर्टिएरिस नोटरी सर्वर का उपयोग करता है (हमने इस लेख के अंत में इसके बारे में लिखा था - लगभग अनुवाद। ) विश्वसनीय और हस्ताक्षरित कलाकृतियों की पुष्टि करने के लिए सच्चाई के स्रोत के रूप में (यानी, अनुमोदित कंटेनर छवियां)।

कुबेरनेट्स में एक वर्कलोड बनाते या संशोधित करते समय, पोर्टिएरिस हस्ताक्षरित जानकारी और अनुरोधित कंटेनर छवियों के लिए सामग्री ट्रस्ट नीति डाउनलोड करता है और यदि आवश्यक हो, तो इन छवियों के हस्ताक्षरित संस्करणों को लॉन्च करने के लिए मक्खी पर एपीआई जेन्सन ऑब्जेक्ट में परिवर्तन करता है।

मेहराब

• वेबसाइट: www.vaultproject.io
• लाइसेंस: नि: शुल्क (एमपीएल)

संवेदनशील जानकारी संग्रहीत करने के लिए तिजोरी एक सुरक्षित उपाय है: पासवर्ड, OAuth टोकन, PKI प्रमाण पत्र, एक्सेस खाते, कुबेरनेट रहस्य, आदि। वॉल्ट कई उन्नत सुविधाओं का समर्थन करता है, जैसे कि अल्पकालिक सुरक्षा टोकन किराए पर लेना या कुंजी रोटेशन का आयोजन करना।

हेल्म चार्ट का उपयोग करते हुए, वॉल्ट को बैकएंड रिपॉजिटरी के रूप में कौंसल के साथ कुबेरनेट्स क्लस्टर में एक नई तैनाती के रूप में तैनात किया जा सकता है। यह ServiceAccount टोकन जैसे देशी कुबेरनेट संसाधनों का समर्थन करता है और यहां तक ​​कि डिफ़ॉल्ट कुबेरनेट गुप्त स्टोर के रूप में भी कार्य कर सकता है।

लगभग। ट्रांस। : वैसे, कल ही, HashiCorp कंपनी ने वॉल्ट विकसित करने के लिए कुबेरनेट्स में वॉल्ट का उपयोग करने के लिए कुछ सुधारों की घोषणा की, और विशेष रूप से वे हेल्म चार्ट से संबंधित हैं। विवरण के लिए डेवलपर ब्लॉग पढ़ें।

कुबेरनेट्स सुरक्षा लेखा परीक्षा

कुबे पीठ

• वेबसाइट: github.com/aquasecurity/kube-bench
• लाइसेंस: मुफ्त (अपाचे)

क्यूब-बेंच एक गो एप्लिकेशन है जो यह जांचता है कि क्या कुबेरनेट्स सीआईएस कुबेरनेट्स बेंचमार्क सूची से परीक्षण चलाकर सुरक्षित रूप से तैनात किया गया है।

क्यूब-बैंच क्लस्टर घटकों (असुरक्षित, एपीआई, नियंत्रक प्रबंधक, आदि) के बीच असुरक्षित कॉन्फ़िगरेशन मापदंडों की तलाश करता है, संदिग्ध फ़ाइल अनुमतियाँ, असुरक्षित खाते या खुले बंदरगाह, संसाधन कोटा, से बचाने के लिए एपीआई कॉल की संख्या को सीमित करने के लिए सेटिंग्स DoS के हमले, आदि।

कुबेर शिकारी

• वेबसाइट: github.com/aquasecurity/kube-hunter
• लाइसेंस: मुफ्त (अपाचे)

कुबेरनेट क्लस्टर में संभावित कमजोरियों (जैसे रिमोट कोड निष्पादन या डेटा प्रकटीकरण) के लिए क्यूब-शिकारी "शिकार" करता है। क्यूब-शिकारी को एक रिमोट स्कैनर के रूप में चलाया जा सकता है - इस मामले में, यह तीसरे पक्ष के हमलावर के दृष्टिकोण से क्लस्टर का मूल्यांकन करेगा - या क्लस्टर के अंदर एक फली के रूप में।

क्यूब-हंटर की एक विशिष्ट विशेषता "सक्रिय शिकार" मोड है, जिसके दौरान वह न केवल समस्याओं की रिपोर्ट करता है, बल्कि लक्ष्य क्लस्टर में खोजी गई कमजोरियों का लाभ उठाने की भी कोशिश करता है जो संभवतः उसके काम को नुकसान पहुंचा सकते हैं। इसलिए सावधानी के साथ प्रयोग करें!

Kubeaudit

• वेबसाइट: github.com/Shopify/kubeaudit
• लाइसेंस: नि: शुल्क (एमआईटी)

Kubeaudit मूल रूप से Shopify द्वारा विकसित एक कंसोल टूल है, जो विभिन्न सुरक्षा मुद्दों के लिए Kubernetes कॉन्फ़िगरेशन का ऑडिट करने के लिए है। उदाहरण के लिए, यह उन कंटेनरों की पहचान करने में मदद करता है, जो प्रतिबंध के बिना काम करते हैं, सुपरसुसर विशेषाधिकारों, दुरुपयोग विशेषाधिकारों, या डिफ़ॉल्ट रूप से ServiceAccount का उपयोग करते हैं।

कुबुदित में अन्य रोचक विशेषताएं हैं। उदाहरण के लिए, यह स्थानीय YAML फ़ाइलों का विश्लेषण कर सकता है, कॉन्फ़िगरेशन दोषों की पहचान कर सकता है जो सुरक्षा समस्याओं को जन्म दे सकता है, और स्वचालित रूप से उन्हें ठीक कर सकता है।

Kubesec

• वेबसाइट: kubesec.io
• लाइसेंस: मुफ्त (अपाचे)

Kubesec इस अर्थ में एक विशेष उपकरण है कि यह कमजोर मापदंडों की तलाश में कुबेरनेट संसाधनों का वर्णन करने वाली YAML फ़ाइलों को सीधे स्कैन करता है जो सुरक्षा को प्रभावित कर सकते हैं।

उदाहरण के लिए, यह पॉड को दी गई अत्यधिक विशेषाधिकार और अनुमतियों का पता लगा सकता है, डिफ़ॉल्ट उपयोगकर्ता के रूप में रूट के साथ एक कंटेनर लॉन्च करता है, होस्ट नेटवर्क नेमस्पेस या खतरनाक माउन्ट जैसे /proc होस्ट या डॉकर सॉकेट से कनेक्ट होता है। Kubesec की एक और दिलचस्प विशेषता इसकी ऑनलाइन डेमो सेवा है, जहां आप YAML डाउनलोड कर सकते हैं और तुरंत इसका विश्लेषण कर सकते हैं।

ओपन पॉलिसी एजेंट

• वेबसाइट: www.openpolicyagent.org
• लाइसेंस: मुफ्त (अपाचे)

OPA (ओपन पॉलिसी एजेंट) की अवधारणा एक विशिष्ट रनटाइम प्लेटफॉर्म से सुरक्षा नीतियों और सर्वोत्तम प्रथाओं को सुरक्षा के क्षेत्र में अलग करने के लिए है: डॉकर, कुबेरनेट्स, मेसोस्फीयर, ओपनशिफ्ट, या इसके किसी भी संयोजन।

उदाहरण के लिए, आप प्रवेश नियंत्रक Kubernetes के लिए एक बैकेंड के रूप में OPA को तैनात कर सकते हैं, इसे सुरक्षा समाधान दे सकते हैं। इस प्रकार, OPA एजेंट निर्दिष्ट सुरक्षा सेटिंग्स के अनुपालन को सुनिश्चित करने, मक्खी पर अनुरोधों को जांचने, अस्वीकार करने और यहां तक ​​कि संशोधित करने में सक्षम होगा। OPA पर सुरक्षा नीतियों को अपनी स्वयं की DSL भाषा, रेगो में लिखा जाता है।

लगभग। ट्रांस। : हमने इस लेख में OPA (और SPIFFE) के बारे में अधिक लिखा है।

व्यापक कुबेरनेट्स सुरक्षा विश्लेषण उपकरण

हमने वाणिज्यिक प्लेटफार्मों के लिए एक अलग श्रेणी बनाने का फैसला किया, क्योंकि वे एक नियम के रूप में, एक साथ कई सुरक्षा क्षेत्रों को कवर करते हैं। उनकी क्षमताओं का एक सामान्य विचार तालिका से प्राप्त किया जा सकता है:


* उन्नत परीक्षा और सिस्टम कॉल पर पूर्ण कब्जा के साथ पोस्टमार्टम विश्लेषण।

एक्वा सुरक्षा

• वेबसाइट: www.aquasec.com
• लाइसेंस: वाणिज्यिक

यह वाणिज्यिक उपकरण कंटेनर और क्लाउड वर्कलोड के लिए डिज़ाइन किया गया है। यह प्रदान करता है:

• कंटेनर रजिस्ट्री या सीआई / सीडी पाइपलाइन के साथ एकीकृत छवि स्कैनिंग;
• कंटेनरों और अन्य संदिग्ध गतिविधि में परिवर्तन की खोज के साथ रनटाइम सुरक्षा;
• देशी कंटेनर फ़ायरवॉल;
• क्लाउड सेवाओं में सर्वर रहित के लिए सुरक्षा;
• अनुपालन और ऑडिटिंग इवेंट लॉगिंग के साथ संयुक्त।

लगभग। ट्रांस। : यह भी ध्यान देने योग्य है कि माइक्रोस्कैनर नामक उत्पाद का एक मुफ्त घटक भी है, जो कमजोरियों के लिए कंटेनर छवियों को स्कैन करने की अनुमति देता है। सशुल्क संस्करणों के साथ इसकी क्षमताओं की तुलना इस तालिका में प्रस्तुत की गई है ।

Capsule8

• वेबसाइट: capsule8.com
• लाइसेंस: वाणिज्यिक

कैप्सूल 8 एक स्थानीय या क्लाउड कुबेरनेट क्लस्टर में डिटेक्टर स्थापित करके बुनियादी ढांचे में एकीकृत करता है। यह डिटेक्टर मेजबान और नेटवर्क के टेलीमेट्री को इकट्ठा करता है, इसे विभिन्न प्रकार के हमलों के साथ सहसंबंधित करता है।

कैप्सूल 8 टीम इसे अपनी शुरुआती पहचान और उन हमलों की रोकथाम के रूप में देखती है जो ताजा (0-दिन) कमजोरियों का उपयोग करते हैं। Capsule8 हाल ही में खोजे गए खतरों और सॉफ्टवेयर कमजोरियों के जवाब में अद्यतन सुरक्षा नियमों को सीधे डिटेक्टरों में डाउनलोड कर सकता है।

Cavirin

• वेबसाइट: www.cavirin.com
• लाइसेंस: वाणिज्यिक

कैविरिन सुरक्षा मानकों में शामिल विभिन्न विभागों के लिए कंपनी की ओर से प्रतिपक्ष के रूप में कार्य करता है। यह न केवल छवियों को स्कैन कर सकता है, बल्कि एक सीआई / सीडी पाइपलाइन में भी एकीकृत हो सकता है, जो कि मानकों को पूरा नहीं करने वाली छवियों को अवरुद्ध करता है, इससे पहले कि वे बंद होने वाली सामग्री में मिलें।

कैविरिन सिक्योरिटी सूट साइबर लय का मूल्यांकन करने के लिए मशीन लर्निंग का उपयोग करता है और सुरक्षा बढ़ाने और सुरक्षा मानकों के अनुपालन को बढ़ाने के लिए सुझाव देता है।

Google क्लाउड सुरक्षा कमांड सेंटर

• वेबसाइट: cloud.google.com/security-command-center
• लाइसेंस: वाणिज्यिक

क्लाउड सिक्योरिटी कमांड सेंटर सुरक्षा टीमों को डेटा इकट्ठा करने, खतरों की पहचान करने और कंपनी को नुकसान पहुंचाने से पहले उन्हें खत्म करने में मदद करता है।

जैसा कि नाम से ही स्पष्ट है, Google क्लाउड SCC एक एकीकृत नियंत्रण कक्ष है जिसमें आप विभिन्न सुरक्षा रिपोर्ट, परिसंपत्ति लेखा तंत्र और तृतीय-पक्ष सुरक्षा प्रणाली को एकीकृत कर सकते हैं, और उन्हें एकल, केंद्रीकृत स्रोत से प्रबंधित कर सकते हैं।

Google क्लाउड SCC द्वारा प्रस्तुत इंटरऑपरेबल एपीआई कई स्रोतों से सुरक्षा घटनाओं के एकीकरण की सुविधा प्रदान करता है, जैसे कि Sysdig Secure (क्लाउड-नेटिव एप्लिकेशन के लिए कंटेनर सुरक्षा) या फ़ाल्को (रनटाइम ओपन सोर्स सुरक्षा)।

स्तरित अंतर्दृष्टि (गुण)

• वेबसाइट: layeredinsight.com
• लाइसेंस: वाणिज्यिक

लेयर्ड इनसाइट (अब क्वालिस इंक का हिस्सा) "एम्बेडेड सिक्योरिटी" की अवधारणा पर बनाया गया है। सांख्यिकीय विश्लेषण विधियों का उपयोग करके कमजोरियों के लिए मूल छवि को स्कैन करने और सीवीई जांच करने के बाद, लेयर्ड इनसाइट इसे एक इंस्ट्रूमेंटेड छवि के साथ बदल देता है जिसमें एक बाइनरी के रूप में एक एजेंट शामिल होता है।

इस एजेंट में कंटेनर नेटवर्क ट्रैफ़िक, I / O प्रवाह और एप्लिकेशन गतिविधि का विश्लेषण करने के लिए रनटाइम सुरक्षा परीक्षण शामिल हैं। इसके अलावा, यह इंफ्रास्ट्रक्चर एडमिनिस्ट्रेटर या देवओपीएस टीमों द्वारा परिभाषित अतिरिक्त सुरक्षा जांच कर सकता है।

NeuVector

• वेबसाइट: neuvector.com
• लाइसेंस: वाणिज्यिक

NeuVector कंटेनर सुरक्षा जांच करता है और नेटवर्क गतिविधि और अनुप्रयोग व्यवहार का विश्लेषण करके रनटाइम सुरक्षा प्रदान करता है, प्रत्येक कंटेनर के लिए एक व्यक्तिगत सुरक्षा प्रोफ़ाइल बनाता है। यह स्वतंत्र रूप से खतरों को भी रोक सकता है, स्थानीय फ़ायरवॉल के नियमों को बदलकर संदिग्ध गतिविधि को अलग कर सकता है।

नेटवर्क इंटीग्रेशन न्यूरवेक्टर, जिसे सुरक्षा जाल के रूप में जाना जाता है, सेवा जाल में सभी नेटवर्क कनेक्शनों के लिए 7 वें स्तर पर गहरे पैकेट विश्लेषण और छानने में सक्षम है।

StackRox

• वेबसाइट: www.stackrox.com
• लाइसेंस: वाणिज्यिक

StackRox कंटेनर सुरक्षा प्लेटफ़ॉर्म एक क्लस्टर में Kubernetes अनुप्रयोगों के पूरे जीवनचक्र को कवर करने का प्रयास करता है। इस सूची में अन्य वाणिज्यिक प्लेटफार्मों की तरह, StackRox कंटेनर के देखे गए व्यवहार के आधार पर एक रनटाइम प्रोफ़ाइल बनाता है और स्वचालित रूप से किसी भी विचलन के लिए एक अलार्म लगता है।

इसके अलावा, StackRox कंटेनर अनुपालन का मूल्यांकन करने के लिए CIS Kubernetes और अन्य नियमपुस्तकों का उपयोग करके कुबेरनेट कॉन्फ़िगरेशन का विश्लेषण करता है।

Sysdig सुरक्षित

• वेबसाइट: sysdig.com/products/secure
• लाइसेंस: वाणिज्यिक

Sysdig Secure कंटेनर और Kubernetes जीवन चक्र में अनुप्रयोगों की सुरक्षा करता है। यह कंटेनर छवियों को स्कैन करता है , मशीन लर्निंग डेटा के अनुसार रनटाइम सुरक्षा प्रदान करता है , और अपराध करता है। कमजोरियों की पहचान करने के लिए परीक्षा, खतरों को रोकता है, स्थापित मानकों के अनुपालन की निगरानी करता है और माइक्रोसर्विसेज में ऑडिट गतिविधि करता है।

Sysdig Secure, CI / CD टूल्स जैसे जेनकिंस के साथ एकीकृत होता है और डॉकर रजिस्ट्रियों से डाउनलोड की गई छवियों की निगरानी करता है, जिससे खतरनाक छवियों को उत्पादन में प्रदर्शित होने से रोका जाता है। यह व्यापक रनटाइम सुरक्षा भी प्रदान करता है, जिसमें शामिल हैं:

• एमएल-आधारित रनटाइम प्रोफाइलिंग और विसंगति का पता लगाना
• सिस्टम घटनाओं, K8s- ऑडिट एपीआई, संयुक्त सामुदायिक परियोजनाओं (FIM - फ़ाइल अखंडता निगरानी; क्रिप्टोजैकिंग) और MITER ATT & CK पर आधारित रनटाइम नीतियां;
• घटनाओं की प्रतिक्रिया और उन्मूलन।

टेनबल कंटेनर सुरक्षा

• वेबसाइट: www.tenable.com/products/tenable-io/container-security
• लाइसेंस: वाणिज्यिक

कंटेनरों के आगमन से पहले, टेनबल को उद्योग में व्यापक रूप से जाना जाता था क्योंकि कंपनी ने नेसस को विकसित किया, जो भेद्यता खोज और सुरक्षा ऑडिटिंग के लिए एक लोकप्रिय उपकरण था।

टेनबल कंटेनर सिक्योरिटी अपने कंप्यूटर सुरक्षा विशेषज्ञता का उपयोग सीआई / सीडी पाइपलाइन को भेद्यता डेटाबेस, विशेष मैलवेयर डिटेक्शन पैकेज और सुरक्षा जोखिमों के समाधान के लिए सिफारिशों के साथ एकीकृत करने के लिए करती है।

ट्विस्टलॉक (पालो अल्टो नेटवर्क)

• वेबसाइट: www.twistlock.com
• लाइसेंस: वाणिज्यिक

ट्विस्टलॉक खुद को क्लाउड सेवाओं और कंटेनरों पर केंद्रित एक मंच के रूप में बढ़ावा देता है। ट्विस्टलॉक विभिन्न क्लाउड प्रोवाइडर (AWS, Azure, GCP), कंटेनर ऑर्केस्ट्रेटर (Kubernetes, Mesospehere, OpenShift, Docker), सर्वर रहित रनटाइम, मेष चौखटे और CI / CD टूल्स का समर्थन करता है।

सामान्य उद्यम-स्तर की सुरक्षा विधियों के अलावा, जैसे कि CI / CD पाइपलाइन या इमेज स्कैनिंग में एकीकरण, Twistlock मशीन सीखने का उपयोग करता है ताकि व्यवहार के पैटर्न और नेटवर्क नियमों को उत्पन्न किया जा सके जो कंटेनरों की विशेषताओं को ध्यान में रखते हैं।

कुछ समय पहले, ट्विस्टलॉक को पालो ऑल्टो नेटवर्क्स द्वारा खरीदा गया था, जो एविडेंट.आईओ और रेडलॉक प्रोजेक्ट्स का मालिक है। यह अभी तक ज्ञात नहीं है कि पालो ऑल्टो से इन तीन प्लेटफार्मों को PRISMA में कैसे एकीकृत किया जाएगा।

सर्वश्रेष्ठ कुबेरनेट सुरक्षा उपकरण कैटलॉग बनाने में मदद करें!

हम इस कैटलॉग को यथासंभव पूरा करने का प्रयास करते हैं, और इसके लिए हमें आपकी सहायता की आवश्यकता है! हमसे संपर्क करें ( @sysdig ) यदि आपके पास इस सूची में शामिल करने के लायक कोई ठंडा उपकरण है, या आपको कोई त्रुटि या पुरानी जानकारी मिलती है।

आप हमारे मासिक समाचार पत्र को क्लाउड-देशी पारिस्थितिकी तंत्र समाचार और कुबेरनेट सुरक्षा की दुनिया से दिलचस्प परियोजनाओं के बारे में कहानियों के साथ सदस्यता ले सकते हैं।

अनुवादक से पी.एस.

हमारे ब्लॉग में भी पढ़ें:

• " सुरक्षा पेशेवरों के लिए कुबेरनेट्स नेटवर्क नीतियों का परिचय ";
• " सुरक्षा-मांग वाले वातावरण में डोकर और कुबेरनेट्स ";
• " कुबेरनेट्स में 9 सर्वश्रेष्ठ सुरक्षा अभ्यास ";
• " 11 तरीके (नॉट) कुबेरनेट्स हैकिंग का शिकार बनें ";
• " OPA और SPIFFE क्लाउड अनुप्रयोग सुरक्षा के लिए सीएनसीएफ में दो नई परियोजनाएं हैं ।"