Publikation von Christoph Puppe
Kubernetes absichern, Teil 1: Werkzeuge in der K8s-Umgebung für mehr Sicherheit
Wer Container sagt, meint fast immer Kubernetes, und wer Kubernetes sagt, meint fast immer eine Distribution, on-premises wie in der Cloud. Der Auftakt der dreiteiligen Tutorialserie räumt mit einem Missverständnis auf: K8s-Umgebungen sind nicht per se das größere Risiko, sie haben gegenüber der Legacy-IT konzeptionelle Vorteile. Ein frisch installierter Vanilla-Cluster ist allerdings erst einmal unsicher, selbst RBAC muss man aktivieren und um einen vorgeschalteten Authentifizierungsdienst ergänzen. Als Maßstab der Härtung dienen die BSI-Bausteine SYS.1.6 Containerisierung und APP.4.4 Kubernetes, die der Autor initiiert und geschrieben hat, ergänzt um CIS-Benchmark, NSA-Härtungsguide, NIST 800-190 und die OWASP Kubernetes Top Ten. Der Artikel arbeitet die Pflichtthemen als Grundkurs ab: Richtlinien für Images und Container, durchgesetzt mit Admission Controllern wie Open Policy Agent oder Kyverno; Separierung der Netze und Mikrosegmentierung mit CNIs wie Calico oder Cilium; beim Verwundbarkeitsmanagement das Verbot von Images mit Schwachstellen ab CVSS 8. Die wichtigste Maßnahme überhaupt ist der Tokenschutz: Kubernetes speichert Token unverschlüsselt im etcd, das Secrets Management ist der Single Point of Hackability. Für die Angriffserkennung reicht Prometheus nicht, SYS.1.6.A7 fordert persistente Protokolle für ein SIEM oder SOAR. Das Fazit: Container in Kubernetes können den Betrieb erheblich sicherer machen als die traditionelle IT, aber das erfordert zusätzliche Werkzeuge und möglichst viel Automatisierung.
heise online · PDF · Permalink