KubeClarityで始めるSBOM管理 @3-shake SRE Tech Talk / 3-shake-sre-teck-talk-202212

https://3-shake.connpass.com/event/267080/

Transcript

1. Masaya Aoyama CyberAgent KubeClarityͰ࢝ΊΔSBOM؅ཧ 3-shake SRE Tech Talk 2022 ΫϦεϚε௚લձ amsy810 @amsy810
2. - Co-chair ⻘⼭真也 + CREATIONLINE - 技術アドバイザ + SAKURA Internet Research Center – 客員研究員 + 3-shake 技術顧問 + PLAID - Organizer - KaaS Product Owner - Publications Twitter: @amsy810
3. ebpfとWASMに思いを馳せる2022 @TechFeed Conference 2022 https://speakerdeck.com/masayaaoyama/techfeed-conference-2022-ebpf-wasm-amsy810
4. APIClarity とは Shadow/Zonbie API の検知・OpenAPI specの再構成
5. APIClarity - architecture HTTP Traffic を外部のバックエンドに 転送する WASM Filter を利⽤ *2
6. OpenClarity プロジェクト セキュリティや Observability のための OSS ツール群を開発するプロジェクト Cisco がリード（KubeCon + CNCon NA 2022 の Keynote でも紹介）
7. KubeClarity
8. KubeClarity とは︖ SBOM（Software Bill Of Materials）の⽣成 • Content Analyzer: Syft 脆弱性スキャン • Vulnerability Scanner: Grype CSI Docker Benchmark のテスト • Banchmarker: Dockle
9. KubeClarity のアーキテクチャ イメージ単位で Job を起動し、 SBOMの⽣成と脆弱性スキャンを実施
10. Syft と Grype による⾼速なスキャン Syft: SBOM を⽣成 Grype: SBOM を利⽤した脆弱性スキャン Syft Grype SBOM 脆弱性情報 KubeClarity では PostgreSQL に蓄積 脆弱性スキャンの⾼速化 https://github.com/openclarity/kubeclarity/blob/7f3d166ad4feb0bda931 38e6c4e4fe12b6c360a5/runtime_k8s_scanner/pkg/scanner/scanner.go#L77
11. KubeClarity におけるデータ • Application: 実⾏されているPod（実際にはDeploymentなどの粒度） • Application Resource: コンテナイメージ • Package: 利⽤しているパッケージ（rpm や deb などの OS 系 / npm や gomod などの⾔語系） • Vulnerability: 脆弱性情報 Application (Pod) Application Resource (Container Image) Package (rpm, npm, gomod, etc) Vulnerability (CVE) SBOM
12. OpenClarity の Web UI
13. OpenClarity の Web UI
14. OpenClarity の Web UI
15. OpenClarity の Web UI
16. OpenClarity の Web UI
17. OpenClarity の Web UI
18. OpenClarity の Web UI
19. OpenClarity の Web UI
20. Demo • デプロイした microservice-demo に対する SBOM/脆弱性スキャン 下記にて Web UI を公開しているので、興味のある⽅は触ってみてください https://bit.ly/amsy-kc （セッション終了後 30 分程度で削除予定） kubectl apply -f https://raw.githubusercontent.com/GoogleCloudPlatform/microservices-demo/v0.5.0/release/kubernetes-manifests.yaml helm repo add kubeclarity https://openclarity.github.io/kubeclarity helm install --create-namespace kubeclarity kubeclarity/kubeclarity -n kubeclarity --set kubeclarity.service.type=LoadBalancer --version v2.9.0
21. Thank you for your attention Twitter: @amsy810