如何用CRD达成自动化容器安全
发布时间：2022-06-01 09:09:43 所属栏目：安全 来源：互联网
导读：长久以来，安全一直是困扰着许多DevOps团队(包括我自己供职的加拿大保险和金融服务合作社)的症结所在。尽管在各种工具的帮助下，我们的CI/CD管道的绝大部分都已经实现了自动化，而且基于容器的自动化应用部署也是我们的常态，但是在安全方面的自动化程度仍然
 长久以来，安全一直是困扰着许多DevOps团队(包括我自己供职的加拿大保险和金融服务合作社)的症结所在。尽管在各种工具的帮助下，我们的CI/CD管道的绝大部分都已经实现了自动化，而且基于容器的自动化应用部署也是我们的常态，但是在安全方面的自动化程度仍然比较落后。与大多数DevOps团队一样，我们实施了自动化的漏洞扫描，但是在手动构建安全策略，以保护生产环境中的应用程序、及其工作负载方面仍存在着一定的问题。 为了利用容器工具所提供的各项优势，我们的团队使用了NeuVector CRD，并在NeuVector容器安全平台内定义了各种安全策略。 首先通过CRD，我们让这些策略能够捕获应用程序最初的正常与合法行为，并以此建立一个完整的配置档案(profile)。 接着，CRD将这些行为列入白名单，其中包括：与应用程序的标准操作相一致的所有网络规则、流程、协议、以及文件活动。 最后，在应用程序的容器环境内，CRD通过只允许那些获批的网络连接(使用ISO第7层的应用协议，进行识别与检查)来提供安全性，并拒绝任何异常的外部连接。 据此，我们的策略便能够防止攻击者试图利用内部或外部的通信连接，进入应用程序所在的生产环境。 CRD既允许我们基于全局或每一个服务，来定义不同的规则;又通过支持RBAC，使我们能够利用本地的Kubernetes服务帐户与角色，来实施各项安全策略。同时，它的版本控制功能也有助于我们跟踪每一个应用程序修订版的策略。另外，诸如Open Policy Agent之类的安全策略管理工具，也能够按需支持各类集成。 NeuVector CRD允许您使用Kubernetes的本地YAML文件来创建各项安全规则。 首先，您需要创建一个NeuVector CRD。如下图所示，我们使用YAML代码创建了一个CRD。同时，我们为NvSecurityRule定义了一个namespaced域，并将NvClusterSecurityRule的域范围定义为能够跨集群进行操作。 （编辑：江门站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐