Seguridad en Amazon EKS

Estrategias de Protección y Tácticas de Defensa para un Entorno Resiliente.

Transcript

1. 12 AGOSTO 2023
2. 12 AGOSTO 2023 Xavier Llauca Seguridad en Amazon EKS Estrategias de Protección y Tácticas de Defensa para un Entorno Resiliente. Cloud Security Engineer Confidencial
3. 12 AGOSTO 2023 AGENDA • Desafíos de seguridad en la nube. • Modelo de responsabilidad compartida en Amazon EKS • Mejores prácticas en Amazon EKS • Demo • Preguntas y Respuestas
4. 12 AGOSTO 2023 Desafíos de seguridad en la nube
5. 12 AGOSTO 2023 Desafíos de la seguridad en la nube La seguridad en la nube es la misma? Ciclo de vida de contenedores Actualización y mantenimiento sin interrupciones Monitoreo y detección de amenazas Gestión de secretos Firewalls/IPS no son suficientes
6. 12 AGOSTO 2023 Modelo de la responsabilidad compartida
7. 12 AGOSTO 2023 A mayor control mayor responsabilidad
8. 12 AGOSTO 2023 Nodos Autogestionados EKS Fargate Fuente: 'EKS Best Practices Guides’ -> https://aws.github.io/aws-eks-best-practices
9. 12 AGOSTO 2023 Nodos autogestionados Grupos de nodos gestionados Fuente: 'EKS Best Practices Guides’ -> https://aws.github.io/aws-eks-best-practices
10. 12 AGOSTO 2023 Mejores prácticas en Amazon EKS
11. 12 AGOSTO 2023 Las 4C de la seguridad en Cloud Native • Nube • Problemas de configuración • Lagunas de automatización • Cluster • Red de cluster deficiente • Control de acceso deficiente • Contenedores • Seguridad de imagen • Fuentes desconocidas • Código • Inseguro • Dependencias de software ¿Defensa en profundidad?
12. 12 AGOSTO 2023 Seguridad de las infraestructuras Protección de los nodos (hosts)
13. 12 AGOSTO 2023 Seguridad de imágenes Protección de imágenes de contenedores Escanear imágenes de contenedores ECR Terceros: Anchore, Clair, Trivy, kubescape Linux Capabilities setuid/setgid Firma de imágenes de contenedores AWS Signer Politicas y Registros privados de Amazon ECR Capas bases ligeras/ optimizadas. No ejecute aplicaciones como usuario ROOT Container escape Escalamiento privilegios
14. 12 AGOSTO 2023 Gestión de identidades y accesos ¿Habilitamos la trazabilidad? Principio del mínimo privilegio •IAM, K8S RBAC Auditar periódicamente el acceso al cluster Configurar el "endpoint" del cluster EKS como Privado Uso de IRSA para asignar identidades de AWS a pods Utilizar ServiceAccount para cada aplicación Desactivar el montaje del token SA por defecto
15. 12 AGOSTO 2023 Seguridad de la red ¿Comunicación sin restricciones entre pods? Políticas de red •Crear una política de denegación por defecto •Cilium (EBPF), Calico Encriptar el trafico Crear una regla para permitir consultas DNS Registro de metadatos de tráfico de red Utilizar el cifrado en los LB de AWS
16. 12 AGOSTO 2023 DEMO
17. 12 AGOSTO 2023 Escalamiento de privilegios Movimientos laterales
18. 12 AGOSTO 2023 Q&A
19. 12 AGOSTO 2023 Datos de contacto https://linktr.ee/xllauca
20. 12 AGOSTO 2023 ¡GRACIAS!