应用与集群安全保障指南

### 应用与集群安全保障指南 在当今数字化的时代，应用与集群的安全至关重要。本文将详细介绍几种保障应用与集群安全的实用方法，包括使用 kube - bench 进行安全基准测试、借助 Aqua Security 进行漏洞检查，以及利用 Falco 监测可疑活动等，帮助你构建更安全的应用与集群环境。 #### 1. 使用 kube - bench 运行 CIS Kubernetes 基准测试 kube - bench 是一个用于快速运行 CIS Kubernetes 基准测试的工具。以下是具体的操作步骤： - **列出 kube - bench Pod**：使用以下命令列出集群中创建的 kube - bench Pod，并确保其状态为 “Completed”。 ```bash $ kubectl get pods |grep kube - bench ``` 示例输出： ``` kube - bench - 7lxzn 0/1 Completed 0 5m ``` - **查看 kube - bench 结果**：将上一步的 Pod 名称替换到以下命令中，查看 Pod 日志以获取 kube - bench 结果。 ```bash $ kubectl logs kube - bench - 7lxzn ``` - **在 OpenShift 上运行 kube - bench**：由于 OpenShift 有不同的命令行工具，运行默认测试作业时需要指定版本。 1. SSH 到 OpenShift 主节点，根据 OpenShift 版本（当前仅支持 3.10 和 3.11）运行以下命令： ```bash $ kube - bench master --version ocp - 3.11 ``` 2. 若要保存结果，使用以下命令，并将生成的 `kube - bench - master.txt` 文件移至本地主机进行进一步审查： ```bash $ kube - bench master --version ocp - 3.11 > kube - bench - master.txt ``` 3. SSH 到 OpenShift 工作节点，重复上述步骤，但使用 `node` 参数： ```bash $ kube - bench node --version ocp - 3.11 > kube - bench - node.txt ``` - **kube - bench 工作原理**：执行检查后，kube - bench 会访问 `/var/lib/etcd`、`/var/lib/kubelet`、`/etc/systemd`、`/etc/kubernetes` 和 `/usr/bin` 等目录中的配置文件，因此运行检查的用户需要对所有配置文件提供 root/sudo 访问权限。若配置文件不在默认目录中，检查将失败，常见问题是 `/usr/bin` 目录中缺少 `kubectl` 二进制文件，可通过 `--version` 指定 Kubernetes 版本来跳过此检查。 - **检查结果状态**：第一步会返回四种不同状态： - **PASS**：测试成功运行。 - **FAIL**：测试失败。 - **WARN**：测试需要手动验证，需关注。 - **INFO**：无需进一步操作。 #### 2. 借助 Aqua Security 实现 DevSecOps 自动化漏洞检查 随着 DevOps 安全的 “左移” 方法越来越受欢迎，将安全构建到流程和管道中变得至关重要。以下是使用 Aqua Security 自动化容器镜像漏洞检查的步骤： - **准备工作**： - 确保已使用首选的 CI/CD 工具配置了现有的 CI/CD 管道，若未配置，可参考相关指南配置 GitLab 或 CircleCI。 - 克隆 `k8sdevopscookbook/src` 仓库到工作站，使用 `chapter9` 目录中的清单文件： ```bash $ git clone https://github.com/k8sdevopscookbook/src.git $ cd src/chapter9 ``` - 确保有一个可用的 Kubernetes 集群，并配置好 `kubectl` 以管理集群资源。 - **使用 Trivy 扫描镜像**：Trivy 是一个开源的容器扫描工具，用于识别容器漏洞。 1. 获取最新的 Trivy 版本号并保存到变量中： ```bash $ VERSION=$(curl --silent "https://api.github.com/repos/aquasecurity/trivy/releases/latest" | \ grep '"tag_name":' | \ sed -E 's/.*"v([^"]+)".*/\1/') ``` 2. 下载并安装 Trivy 命令行界面： ```bash $ curl --silent --location "https://github.com/aquasecurity/trivy/releases/download/v${VERSION}/trivy_${VERSION}_Linux - 64bit.tar.gz" | tar xz -C /tmp $ sudo mv /trivy /usr/local/bin ``` 3. 验证 Trivy 是否可用： ```bash $ trivy --version ``` 4. 执行 Trivy 检查，替换容器镜像名称为目标镜像： ```bash $ trivy postgres:12.0 ``` 5. 测试总结将显示检测到的漏洞数量，并包含详细的漏洞列表，如下所示： | LIBRARY | V ID | SEVERITY | INST VER | FIXED VER | TITLE | | ---- | ---- | ---- | ---- | ---- | ---- | | apt | CVE - 2011 - 3374 | LOW | 1.8.2 | | | | bash | TEMP - 0841856 | | 5.0 - 4 | | | | coreutils | CVE - 2016 - 2781 | | 8.30 - 3 | | | | file | CVE - 2019 - 18218 | HIGH | 1:5.35 - 4 | 1:5.35 - 4 + d | file: | - **将漏洞扫描集成到 GitLab**：GitLab Auto DevOps 中的容器扫描作业使用 CoreOS Clair 分析 Docker 镜像的漏洞，但对于基于 Alpine 的镜像，Aqua Trivy 更合适。 1. 编辑项目中的 `.gitlab - ci.yml` 文件： ```bash $ vim .gitlab - ci.yml ``` 2. 添加新的阶段到管道并定义该阶段，示例使用 `vulTest` 阶段： ```yaml stages: - build - vulTest - staging - production ``` 3. 添加 `vulTest` 阶段，定义父键为 `trivy`，在 `before_script` 部分下载 Trivy 二进制文件： ```yaml trivy: stage: vulTest image: docker:stable - git before_script: - docker build -t trivy - ci - test:${CI_COMMIT_REF_NAME} . - export VERSION=$(curl --silent "https://api.github.com/repos/aquasecurity/trivy/releases/latest" | grep '"tag_name":' | sed -E 's/.*"v([^"]+)".*/\1/') - wget "https://github.com/aquasecurity/trivy/releases/download/v${VERSION}/trivy_${VERSION}_Lin ```