DevSecOps Wine

2021-01-25 10:04:19 The Power of Kubernetes RBAC

В конце того года я писал про опасность глаголов escalate и list при организации RBAC в Kubernetes. Тем не менее я не написал про bind, который имеет точно такой же эффект как и escalate. То есть, если пользователь или SA обладают правами на bind, то абсолютно неважно, какие глаголы еще выставлены у его роли в RBAC, ведь он может запросто изменить свою роль на cluster-admin. Про эффект bind можно прочитать в отдельной статье. Стоит это учитывать при написании RBAC, либо их аудите.

К теме RBAC хочется также упомянуть статью "The Power of Kubernetes RBAC LIST". Проблему с неявными полномочиями также можно встретить в GKE при выставлении прав container.secrets.list. Тут все еще страшнее, так как данные права есть в популярных IAM ролях Kubernetes Engine Developer и Kubernetes Engine Admin. Это в свою очередь позволяет пользователям получить доступ к секретам и завладеть ролью cluster-admin. Авторы в данном случае советуют руководствоваться правилом "один GKE на один проект" и использовать RBAC вместо IAM, чтобы распределять роли команды в рамках неймспейсов, а не назначать права на весь кластер. А еще в статье упоминается утилита, которая поможет выводить перечень конкретных прав для IAM в GCP.

В заключении хочу упомянуть про глагол impersonate. Он позволяет выдать себя за другого пользователя. На текущий момент я не встречал про то, как можно использовать данные права в рамках атаки на кластер, но на сайте CNCF есть статья, как используется impersonate для отладки RBAC.

#k8s #ops #gcp Открыть/Комментировать

2021-01-21 12:31:59 Exploring Rootless Docker and User Namespaces

Небольшая статья еще от того года про тестирование rootless docker (экспериментальной фичи Docker 20.10), где автор пробует различные стандартные ситуации.

Возможность создавать rootless-контейнеры базируется на user namespaces. В конце того года вышли сразу две крутые статьи про это.

Improving Kubernetes and container security with user namespaces. Что такое user namespaces, как это спасает от известной CVE-2019-5736, какие на текущий момент есть сложности и как это в теории может работать в Kubernetes.

Evolving Container Security With Linux User Namespaces. О применение user namespaces в Netflix в их системе оркестрации Titus.

P.S. Про rootless-контейнеры я также писал здесь.

#ops #k8s #docker Открыть/Комментировать

2021-01-20 10:36:39 Building an IaC security and governance program step-by-step

Небольшая статья от Bridgecrew о выстраивании политики безопасности IaC - разница в подходах CI/CD и VCS, что из этого выбрать и какими вопросами стоит задаться.

Bridgecrew являются авторами open source утилиты Checkov для проверки IaC на безопасность. Статью про инструмент можно прочитать здесь. Также есть удобная документация. Если вы еще не видели, то в более ранних постах можно найти сравнение инструментов сканирования IaC.

#iac #ops Открыть/Комментировать

2021-01-19 09:58:00 Sysdig 2021 container security and usage report

Sysdig выпустила большой отчет об использовании контейнерных технологий и обеспечении их безопасности. Отчет формировался на базе информации от клиентов Sysdig.

Статью со сводной информацией можно прочитать здесь.

Коротко:
- 49% контейнеров живут меньше 5 минут, 21% менее 10 секунд

- 74% клиентов сканируют образы в CI/CD, при этом 58% контейнеров запускаются от рута

- Рост использования containerd и CRI-O в 2 раза за 2020 год

- 53% уязвимостей программных компонентов (библиотеки PIP, Ruby и тд) обладают высоким уровнем критичности. Для ОС-компонентов только 4% из всех уязвимостей обладают высоким уровнем критичности.

- Рост использования Falco в 3 раза за 2020 год. Рост использования Prometheus на 16% за 2020 год. И то и то очень удачно вписывается в продажи Sysdig ;)

В отчете очень много информации, которая не относится к security вроде числа нод, подов на хост, статистики алертов и тд.

#ops #k8s #docker #report Открыть/Комментировать