搜索

[16768] 2021-05-10_KubeArmor：一个针对容器的运行时安全检查系统

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2021-05-10_KubeArmor：一个针对容器的运行时安全检查系统 K u b e A r m o r ： 一 个 针 对 容 器 的 运 行 时 安 全 检 查 系 统 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 5 - 1 0 K u b e A r m o r 介 绍 介 绍 K u b e A r m o r 是 一 个 支 持 容 器 的 运 行 时 安 全 实 施 系 统 ， 它 可 以 从 系 统 级 别 限 制 容 器 的 行 为 （ 如 进 程 执 行 、 文 件 访 问 、 网 络 操 作 和 资 源 利 用 率 ） 。 K u b e A r m o r 使 用 L i n u x 安 全 模 块 （ L S M ） 运 行 ， 这 意 味 着 如 果 L i n u x 内 核 中 启 用 了 L i n u x 安 全 模 块 （ 例 如 A p p A r m o r 、 S E L i n u x 或 K R S I ） ， 它 将 可 以 在 任 何 L i n u x 平 台 （ 如 A l p i n e 、 U b u n t u 和 G o o g l e 的 容 器 优 化 操 作 系 统 ） 上 运 行 。 K u b e A r m o r 将 使 用 适 当 的 L S M 来 执 行 所 需 的 策 略 。 K u b e A r m o r 是 为 K u b e r n e t e s 环 境 设 计 的 ， 因 此 研 究 人 员 只 需 定 义 安 全 策 略 并 将 其 应 用 于 K u b e r n e t e s 即 可 。 接 下 来 ， K u b e A r m o r 将 自 动 检 测 来 自 K u b e r n e t e s 的 安 全 策 略 更 改 ， 并 将 其 强 制 执 行 到 相 应 的 容 器 中 ， 而 无 需 任 何 人 为 干 预 。 如 果 检 测 到 了 任 何 违 反 安 全 策 略 的 行 为 ， K u b e A r m o r 会 立 即 生 成 具 有 容 器 标 识 的 审 核 日 志 。 如 果 研 究 人 员 还 使 用 了 其 他 日 志 记 录 系 统 ， 也 会 自 动 将 审 计 日 志 发 送 至 他 们 的 系 统 中 。 功 能 性 概 览 功 能 性 概 览 系 统 级 别 限 制 容 器 行 为 在 运 行 时 对 容 器 强 制 执 行 安 全 策 略 生 成 支 持 容 器 的 安 全 审 计 日 志
为 策 略 定 义 提 供 易 于 使 用 的 语 义 支 持 容 器 间 的 网 络 安 全 实 施 工 具 部 署 工 具 部 署 K u b e A r m o r 目 前 支 持 自 管 理 的 K u b e r n e t e s 和 G o o g l e   K u b e r n e t e s   E n g i n e   ( G K E ) ， 此 后 还 将 支 持 A m a z o n   E l a s t i c K u b e r n e t e s   S e r v i c e   ( E K S ) 和 A z u r e   K u b e r n e t e s   S e r v i c e   ( A K S ) 。 根 据 你 的 环 境 ， 可 以 选 择 以 下 选 项 之 一 ： 在 自 管 理 在 自 管 理 K u b e r n e t e s 中 部 署 中 部 署 K u b e A r m o r （ 使 用 （ 使 用 D o c k e r ） ： ） ： 在 自 管 理 在 自 管 理 K u b e r n e t e s 中 部 署 中 部 署 K u b e A r m o r （ 使 用 容 器 ） ： （ 使 用 容 器 ） ： 在 在 M i c r o K 8 中 部 署 中 部 署 K u b e A r m o r ： ： 在 在 G K E 中 部 署 中 部 署 K u b e A r m o r ： ： 针 对 容 器 的 安 全 策 略 定 义 针 对 容 器 的 安 全 策 略 定 义 $   c d   d e p l o y m e n t s / g e n e r i c - d o c k e r     ( g e n e r i c - d o c k e r )   $   k u b e c t l   a p p l y   - f   . $   c d   d e p l o y m e n t s / g e n e r i c - c o n t a i n e r d     ( g e n e r i c - c o n t a i n e r d )   $   k u b e c t l   a p p l y   - f   . $   c d   d e p l o y m e n t s / m i c r o k 8 s     ( m i c r o k 8 s )   $   k u b e c t l   a p p l y   - f   . $   c d   d e p l o y m e n t s / G K E     ( G K E )   $   k u b e c t l   a p p l y   - f   . a p i V e r s i o n :   s e c u r i t y . a c c u k n o x . c o m / v 1 k i n d : K u b e A r m o r P o l i c y m e t a d a t a :     n a m e :   [ p o l i c y   n a m e ]     n a m e s p a c e :   [ n a m e s p a c e   n a m e ] s p e c :     s e v e r i t y :   [ 1 - 1 0 ]     t a g :                                                                           #   - - >   o p t i o n a l     -   [ t a g ]
    -   [ t a g ]     m e s s a g e :   [ m e s s a g e ]                                               #   - - >   o p t i o n a l     s e l e c t o r :         m a t c h L a b e l s :             [ k e y 1 ] :   [ v a l u e 1 ]             [ k e y N ] :   [ v a l u e N ]     p r o c e s s :         m a t c h P a t h s :         -   p a t h :   [ a b s o l u t e   e x e c u t a b l e   p a t h ]             o w n e r O n l y :   [ t r u e | f a l s e ]                             #   - - >   o p t i o n a l             f r o m S o u r c e :                                                     #   - - >   o p t i o n a l                 -   p a t h :   [ a b s o l u t e   e x e c t u a b l e   p a t h ]                 -   d i r :   [ a b s o l u t e   d i r e c t o r y   p a t h ]                     r e c u r s i v e :   [ t r u e | f a l s e ]         m a t c h D i r e c t o r i e s :         -   d i r :   [ a b s o l u t e   d i r e c t o r y   p a t h ]             r e c u r s i v e :   [ t r u e | f a l s e ]                             #   - - >   o p t i o n a l             o w n e r O n l y :   [ t r u e | f a l s e ]                             #   - - >   o p t i o n a l             f r o m S o u r c e :                                                     #   - - >   o p t i o n a l                 -   p a t h :   [ a b s o l u t e   e x e c t u a b l e   p a t h ]                 -   d i r :   [ a b s o l u t e   d i r e c t o r y   p a t h ]                     r e c u r s i v e :   [ t r u e | f a l s e ]         m a t c h P a t t e r n s :         -   p a t t e r n :   [ r e g e x   p a t t e r n ]             o w n e r O n l y :   [ t r u e | f a l s e ]                             #   - - >   o p t i o n a l     f i l e :
        m a t c h P a t h s :         -   p a t h :   [ a b s o l u t e   f i l e   p a t h ]             r e a d O n l y :   [ t r u e | f a l s e ]                               #   - - >   o p t i o n a l             o w n e r O n l y :   [ t r u e | f a l s e ]                             #   - - >   o p t i o n a l             f r o m S o u r c e :                                                     #   - - >   o p t i o n a l                 -   p a t h :   [ a b s o l u t e   e x e c t u a b l e   p a t h ]                 -   d i r :   [ a b s o l u t e   d i r e c t o r y   p a t h ]                     r e c u r s i v e :   [ t r u e | f a l s e ]         m a t c h D i r e c t o r i e s :         -   d i r :   [ a b s o l u t e   d i r e c t o r y   p a t h ]             r e c u r s i v e :   [ t r u e | f a l s e ]                             #   - - >   o p t i o n a l             r e a d O n l y :   [ t r u e | f a l s e ]                               #   - - >   o p t i o n a l             o w n e r O n l y :   [ t r u e | f a l s e ]                             #   - - >   o p t i o n a l             f r o m S o u r c e :                                                     #   - - >   o p t i o n a l                 -   p a t h :   [ a b s o l u t e   e x e c t u a b l e   p a t h ]                 -   d i r :   [ a b s o l u t e   d i r e c t o r y   p a t h ]                     r e c u r s i v e :   [ t r u e | f a l s e ]         m a t c h P a t t e r n s :         -   p a t t e r n :   [ r e g e x   p a t t e r n ]             r e a d O n l y :   [ t r u e | f a l s e ]                               #   - - >   o p t i o n a l             o w n e r O n l y :   [ t r u e | f a l s e ]                             #   - - >   o p t i o n a l     n e t w o r k :         m a t c h P r o t o c o l s :         -   p r o t o c o l :   [ T C P | t c p | U D P | u d p | I C M P | i c m p ]             f r o m S o u r c e :                                                     #   - - >   o p t i o n a l
许 可 证 协 议 许 可 证 协 议 本 项 目 的 开 发 与 发 布 遵 循 A p a c h e   V 2 . 0 开 源 许 可 证 协 议 ， 基 于 e B P F 的 容 器 监 控 器 基 于 G P L   V 2 . 0 开 源 许 可 证 协 议 。 项 目 地 址 ： 点 击 底 部 【 阅 读 原 文 】 获 取 精 彩 推 荐 精 彩 推 荐             -   p a t h :   [ a b s o l u t e   e x e c t u a b l e   p a t h ]             -   d i r :   [ a b s o l u t e   d i r e c t o r y   p a t h ]                 r e c u r s i v e :   [ t r u e | f a l s e ]     c a p a b i l i t i e s :         m a t c h C a p a b i l i t i e s :         -   c a p a b i l i t y :   [ c a p a b i l i t y   n a m e ]             f r o m S o u r c e :                                                     #   - - >   o p t i o n a l             -   p a t h :   [ a b s o l u t e   e x e c t u a b l e   p a t h ]             -   d i r :   [ a b s o l u t e   d i r e c t o r y   p a t h ]                 r e c u r s i v e :   [ t r u e | f a l s e ]     a c t i o n :   [ A u d i t | A l l o w | B l o c k | A l l o w W i t h A u d i t | B l o c k W i t h A u d i t ]
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理