Seguridad en Kubernetes

Transcript

1. 11 de Septiembre 2019, Bogotá kubernetes @Ninja Girls
2. 2 -Johana Lizarazo- Arquitecta de TI, Alpinista* “ Soy un instrumento para que algunos convivan con sus miedos” JohanaKLizarazo Ingeniera de Sistemas, electrónica. Esp. Arquitectura, Seguridad Microservicios, DevOps, Cloud, Open Source.
3. 3 Agenda Algo de seguridad Principios de Seguridad. Motivación ¿Porqué es importante contar con controles de Seguridad?
4. 4 Controles nativos K8s Resumen de controles de seguridad en la arquitectura de k8s. Integrando Proyectos CNFC Reforzar la seguridad en la arquitectura de k8s.
5. 5 Algo de seguridad..
6. http://antisec-sys.blogspot.com/2016/06/objetivos-de-la-seguridad.html Rescatando conceptos ...
7. http://antisec-sys.blogspot.com/2016/06/objetivos-de-la-seguridad.html Motivación …
8. https://www.cvedetails.com/product/34016/Kubernetes- Kubernetes.html?vendor_id=15867 Motivación …
9. Motivación …
10. https://www.cvedetails.com/cve/CVE-2019-1002101/ Motivación …
11. 14 Controles nativos de k8s…
12. Recordando ... Master Nodes API Server etcd Scheduler Node 1 SO Container Controller Manager Kubelet Node 2 SO Container Kubelet Node 3 SO Container Kubelet Kubectl
13. Capas de Seguridad… https://kubernetes.io/docs/concepts/security/overview/
14. Capas de Seguridad… https://kubernetes.io/docs/concepts/security/overview/
15. Cloud / Datacenter Anti Malware Gestión de parches de seguridad Escaneo de vulnerabilidades Firewall ACLs … Entre otros controles
16. Capas de Seguridad… https://kubernetes.io/docs/concepts/security/overview/
17. Cluster Asegurar los componentes configurables que conforman el cluster (*) Asegurar los componentes que se ejecutan en el cluster (**)
18. Cluster- API Server.. * Master Nodes API Server etcd Scheduler Node 1 SO Container Controller Manager Kubelet Node 2 SO Container Kubelet Node 3 SO Container Kubelet Kubectl TLS (Transport Layer Security)
19. Cluster- API Server.. * Master Nodes API Server etcd Scheduler Node 1 SO Container Controller Manager Kubelet Node 2 SO Container Kubelet Node 3 SO Container Kubelet Kubectl X.509 Identity Provider Token Token API Autenticación
20. Cluster- API Server.. * Master Nodes API Server etcd Scheduler Node 1 SO Container Controller Manager Kubelet Node 2 SO Container Kubelet Node 3 SO Container Kubelet Kubectl -Deshabilitar acceso anónimo RBAC ( Role – ClusterRole) API Autorización
21. Cluster- API kubelet.. * API Autenticación Master Nodes API Server etcd Scheduler Node 1 SO Container Controller Manager Kubelet Node 2 SO Container Kubelet Node 3 SO Container Kubelet Kubectl X.509 Identity Provider Token Token API Autenticación https://kubernetes.io/docs/reference/command-line-tools-reference/kubelet-authentication-
22. Cluster- API kubelet.. * API Autorización Master Nodes API Server etcd Scheduler Node 1 SO Container Controller Manager Kubelet Node 2 SO Container Kubelet Node 3 SO Container Kubelet Kubectl API -Delega la autorización, API Server Anónimo “enabled”, limite De uso -Token “enabled”, limite de Uso -Certificado “enabled”, Acceso a certificados Firmados CA
23. Autorización RBAC Autenticación Gestión de Secretos (Cifrados en etcd) Políticas de Seguridad de Pod Calidad de Servicio (Gestión de recursos del cluster) Políticas de Red TLS para Ingress https://kubernetes.io/docs/concepts/security/overview/ Cluster- Componentes Ejecutados**
24. Políticas de Seguridad de Pod -Ejecución de contenedores privilegiados -Uso de Namespaces -Uso de interfaces de red y puertos -Uso de tipos de volúmenes -Uso de archivos del sistema -Uso de capacidades de Linux -Restricción de escalada de privilegios root … https://kubernetes.io/docs/concepts/policy/pod-security- policy/ Cluster- Componentes Ejecutados**
25. Capas de Seguridad… https://kubernetes.io/docs/concepts/security/overview/
26. Container Análisis de vulnerabilidad de contenedores y seguridad del sistema operativo Restricción de usuarios privilegiados Firma y cumplimiento de la imagen https://kubernetes.io/docs/concepts/security/overview/
27. Capas de Seguridad… https://kubernetes.io/docs/concepts/security/overview/
28. Código Fuente Acceso solo a través de TLS Análisis de código estático y dinámico Seguridad de librerías de terceros https://kubernetes.io/docs/concepts/security/overview/ Limite de rangos de puertos de comunicación
29. 32 Integrando proyectos CNFC https://landscape.cncf.io/
30. Seguridad y Cumplimento…
31. Gestión de LLaves…
32. Gestión de LLaves… https://www.keycloak.org/about.html Single-Sign On Identity Brokering Federación
33. Malla de Servicios..
34. Malla de Servicios.. Conecta Asegura Control Observación https://medium.com/@serrodcal/istio-conecta-gestiona-y- securiza-microservicios-89d332e5a681
35. Network..
36. Registry..
37. 40 Resumen…
39. Referencias .. https://www.cisecurity.org/benchmark/kubernetes/
40. K5 K2 K8 https://www.duna.cl/podcasts/k2-la-gran-montana/ Gracias !!