DevSecOps ve Yazılım Tedarik Zinciri
Konteyner İmajı ve Registry Güvenliği
Konteyner imajlarınızın kaynağını, içeriğini ve registry'ye kimin yazabildiğini inceliyoruz. Üretime yalnızca onaylı ve imzalı imajların alınması için gerekli kontrolleri kuruyoruz.
Nedir?
Bir konteyner imajı, uygulamanızın yanında bir işletim sistemi katmanı ve birçok paket içerir. Temel imajın kaynağı belirsizse veya güncellenmiyorsa, bilinen zafiyetler her yeni sürüme taşınır. Registry'ye yazabilen biri, aynı etiketle farklı bir imaj yükleyebilir. Bu nedenle imajlar etiketle değil özet değeriyle (digest) kullanılır ve kümeye alınmadan önce imzaları doğrulanır.
Kapsam
- Onaylı temel imaj kaynakları ve güncelleme düzeni
- Minimal imajlar ve gereksiz paketlerin çıkarılması
- İmaj taraması ve kritik zafiyetlerde yayın kuralı
- İmaj imzalama ve kümeye kabulde imza doğrulaması
- Registry okuma ve yazma yetkileri, değiştirilemez etiketler
- Dockerfile'larda root kullanıcısı ve imaja gömülü secret'lar
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Kubernetes'e geçişte ekipler kendi imajlarını üretmeye başladığında.
- Herkese açık registry'lerden doğrudan imaj çekildiğinde ve kaynağı denetlenmediğinde.
- İmaj taramaları her sürümde çok sayıda zafiyet gösterdiğinde ve hangisinin önemli olduğu bilinmediğinde.
Yöntem
Nasıl çalışıyoruz?
-
Envanter
Üretimde çalışan imajları, kaynaklarını ve temel imajlarını listeleriz.
-
İnceleme
İmaj içeriğini, Dockerfile'ları ve registry yetkilerini CIS Docker Benchmark ve NIST SP 800-190'a göre değerlendiririz.
-
Temel imajlar
Ekipleriniz için onaylı, minimal temel imajları ve güncelleme düzenini tanımlarız.
-
Kabul kuralı
Kümeye yalnızca imzalı ve onaylı registry'den gelen imajların alınacağı politikayı kurarız.
Sonuç
Çalışmanın sonunda elinizde olan
Üretimde hangi imajın çalıştığı, kaynağı ve içeriği bellidir. Kümeye imzasız veya onaysız bir imaj alınmak istendiğinde politika bunu reddeder.
Sık sorulan sorular
Kubernetes kümesinin kendi güvenliği de kapsama girer mi?
Bu çalışma imajın üretilmesi, saklanması ve kümeye kabulünü kapsar. Kümede çalışan iş yüklerinin yetkileri ve yalıtımı, bulut ve Kubernetes güvenliği hizmetlerimizin konusudur.
İmaj taraması tek başına yeterli mi?
Yeterli değildir. Tarama bilinen zafiyetleri gösterir ancak imajı kimin ürettiğini kanıtlamaz. İmza ve kabul politikası bu boşluğu kapatır.
Minimal imajlara geçmek zorunda mıyız?
Zorunlu değildir. Minimal imajlar saldırı yüzeyini ve tarama gürültüsünü azaltır. Geçiş, uygulamanın bağımlılıklarına göre aşamalı planlanır.
DevSecOps ve Yazılım Tedarik Zinciri
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın