Positive Technologies разработала свой стандарт практических проверок безопасности Kubernetes

PT CRIS Kubernetes стал первым разработанным в России стандартом, который систематизирует проверки безопасности конфигурации Kubernetes. Он переводит требования и лучшие практики защиты контейнерной инфраструктуры в 64 конкретные технические проверки. Начиная с релиза 1.2 PT Container Security содержит специальный компонент сканирования конфигураций кластеров, реализующий проверки по новому стандарту. Об этом CNews сообщили представители Positive Technologies.

Команда Positive Technologies разработала PT CRIS Kubernetes – первый российский стандарт проверок конфигурации Kubernetes. Он позволяет оценивать безопасность кластера по единому набору технических критериев – от настроек API-сервера и etcd до прав доступа и параметров рабочих нагрузок. В России уже действуют требования к безопасности средств контейнеризации, а для Kubernetes обычно применяются международные рекомендации, в частности CIS Kubernetes Benchmark. При этом отдельного российского стандарта, который бы сводил проверки конфигурации Kubernetes в единый прикладной набор, до PT CRIS Kubernetes не было.

Появление такого стандарта решает одну из практических проблем в безопасности Kubernetes. Недостаточно отслеживать атаки и подозрительную активность уже во время работы контейнеров, поскольку риск часто возникает раньше – из-за небезопасной конфигурации кластера. Например, избыточных прав, запуска привилегированных контейнеров или контейнеров с правами root, доступа к ресурсам узла. Ошибки в настройках могут дать злоумышленнику возможность управлять кластером, выполнять команды на его узлах или получить доступ к данным контейнеров.

PT CRIS Kubernetes объединяет 64 проверки, каждой присвоен уровень критичности – от низкого до критического. Стандарт охватывает API-сервер Kubernetes, роли и кластерные разрешения, Kubernetes Controller Manager, хранилище etcd, планировщик, прикладную нагрузку, пространства имен и Service Account. Среди проверяемых параметров – режимы авторизации, анонимный доступ, журналирование, сертификаты и TLS, повышение привилегий, securityContext, seccomp и другие настройки, от которых зависит защищенность кластера.

«Для индустрии PT CRIS Kubernetes дает единый прикладной ориентир. Требования к безопасности можно перевести из общих рекомендаций в конкретные настройки, которые можно проверить в инфраструктуре. Это упрощает работу ИБ-команд и специалистов, отвечающих за эксплуатацию Kubernetes. Становится понятнее, что именно контролировать, насколько опасно найденное отклонение и какие области кластера требуют внимания в первую очередь», – сказал Никита Ладошкин руководитель разработки PT Container Security в Positive Technologies.

Positive Technologies также подготовила матрицу соответствия PT CRIS Kubernetes другим распространенным требованиям и рекомендациям – CIS Kubernetes Benchmark v2.0.0, NIST SP 800-190, PCI DSS v4.0 и приказу ФСТЭК России № 118. Она показывает, с какими пунктами этих документов связана каждая проверка PT CRIS и насколько близко она реализует соответствующую защитную меру. При этом такое сопоставление служит ориентиром для анализа и само по себе не означает полного соответствия тому или иному стандарту.

Такой подход помогает связать разные уровни требований к безопасности. Например, NIST SP 800-190, PCI DSS и приказ ФСТЭК № 118 во многих случаях формулируют общие требования и рекомендации, тогда как PT CRIS Kubernetes и CIS Kubernetes Benchmark описывают конкретные проверки конфигурации. В результате специалист может перейти от общей защитной цели к конкретному параметру Kubernetes, который можно проверить и при необходимости исправить.

Практическое применение PT CRIS Kubernetes уже реализовано в PT Container Security 1.2. В новой версии продукта можно проверять на соответствие стандарту как центральный, так и подключенные дочерние кластеры. Проверки конфигурации также переведены на PT CRIS Kubernetes. Новый компонент для их выполнения потребляет меньше памяти и ускоряет анализ.

Для пользователей PT Container Security это означает, что оценка конфигурации становится частью единого процесса защиты контейнерной инфраструктуры. Вместо разрозненной проверки отдельных настроек команда получает системную картину. Продукт автоматически сопоставляет фактическую конфигурацию кластера с единым набором требований, показывает отклонения и их критичность. Это помогает быстрее находить опасные настройки, расставлять приоритеты при их исправлении и поддерживать единый уровень безопасности в нескольких Kubernetes-кластерах.