Kubernetes 安全 基于云原生安全 4C：云、集群、容器和代碼：

• 云 （或企業數據中心/托管設施）：底層物理基礎設施是 Kubernetes 安全的基礎。無論集群是建立在自己的數據中心還是云提供商上，都必須遵守基本的云提供商（或物理安全）最佳實踐。
• 集群：保護 Kubernetes 集群涉及可配置組件（例如 Kubernetes API）和集群中所有應用程序的安全性。由于大多數云原生應用程序都是圍繞微服務和 API 設計的，因此應用程序的安全性取決于構成整個應用程序的服務鏈中最薄弱的環節。
• 容器：容器設計最佳實踐包括：從可能的最小代碼庫開始（不包括不必要的庫或函數），避免向容器中的用戶授予不必要的權限，并確保在構建時掃描容器以查找漏洞。
• 代碼：代碼為任何 Kubernetes 環境提供了一個主要的攻擊面。使用 TLS 握手加密 TCP、不暴露未使用的端口、定期掃描和測試等簡單策略有助于防止生產環境中出現安全問題。

為什么 Kubernetes 安全性在容器生命周期中很重要？

由于 Kubernetes 集群的分布式、動態特性，Kubernetes 安全性在整個容器生命周期中都很重要。應用程序生命周期的三個階段中的每個階段都需要不同的安全方法：構建、部署和運行時。Kubernetes 提供了先天的安全優勢。例如，應用程序容器通常不會打補丁或更新——相反，容器鏡像完全被新版本替換。如果在新代碼中發現漏洞，這可以實現嚴格的版本控制并允許快速回滾。

但是，由于單個 pod 是瞬態的，因此不斷變化的運行時環境可能會給 IT 安全專業人員帶來挑戰，因為應用程序和與其他應用程序和服務的 API 鏈接不斷變化。

應用程序生命周期中最重要的 Kubernetes 安全漏洞是什么，您如何解決這些漏洞？

Kubernetes 安全工具應該：

• 減少時間以確保代碼沒有妥協。
• 為代碼提供一定程度的信任提供數字簽名。
• 不僅在代碼中而且在配置問題中提供可見性和透明度。
• 防止信息進入（傳入連接）或傳出（出站連接）到不安全的服務。

構建過程中最常見的 Kubernetes 安全漏洞是什么？

• 來自不受信任的注冊表的代碼。不受信任的代碼可能包括惡意軟件或后門，它們可能會無意中授予不良行為者訪問權限。
• 臃腫的基礎圖像。對于容器化應用程序而言，少即是多，因此開發人員應消除可能受到損害的不必要的包、庫和 shell。

部署期間最常見的 Kubernetes 安全漏洞有哪些？

• 授予不必要的特權。在可能的情況下，將權限保持在最低限度，并僅安裝任務所需的機密以縮小攻擊面。
• 未能隔離集群中的應用程序。命名空間應該用于保持資源和團隊彼此分離。
• 集群內的橫向運動。 使用對網絡進行分段的策略來防止攻擊在集群內橫向移動。
• 越權存取。 確保正確配置基于角色的訪問控制 (RBAC) 以限制訪問。

運行時最常見的 Kubernetes 安全漏洞是什么？

• 基礎設施攻擊。在運行時，包括 API 服務器、etcd 和控制器在內的 Kubernetes 基礎設施元素都呈現出自己的攻擊面。
• 復雜性。Kubernetes 集群的持續健康有許多活動部分。在定位和修復攻擊源的同時，必須快速隔離、停止受損容器并用健康容器替換。

什么是高級 Kubernetes 安全檢查表？

最佳實踐建議包括：從最少的、無發行版的圖像開始，只添加絕對必要的內容。越小越安全。

• 使用最小的主機操作系統，結束只讀掛載，并使用 SELinux 選項進行更多控制
• 從上到下掃描圖像以查找漏洞，包括操作系統圖像和任何類型的外部圖像。沒有外部可信來源這樣的東西。
• 使用命名空間和 RBAC 以邏輯方式對集群和用戶進行分段。如果不需要，它不應該是可見的。
• Kubernetes 網絡 默認允許任意通信，因此 應在生產之前實施網絡分段。仔細定義入口和出口策略，以確保正確路由連接。
• 將權限保持在最低限度，并且永遠不要以 root 身份運行應用程序進程。使用只讀根文件系統可以防止任何依賴于安裝軟件或修改文件系統的攻擊。
• 將圖像掃描等安全性集成到 CI/CD 管道中。更好的是，運行 CIS Benchmark 安全測試。
• 保護集群本身。配置 RBAC 以限制對 API 服務器的訪問，并確保所有 etcd 通信都使用 TLS 加密進行保護。同樣，通過為 kubelet 配置 RBAC 來鎖定 kubelet 權限。
• 利用 Kubernetes 中的內置控件，例如配置安全上下文以限制 pod 訪問。
• 主動安全應包括監控進程活動、服務之間的通信以及集群外部的通信。