Kubernetes 安全性出了名的复杂，但开源 Nimbus 旨在通过自动化而非战略和器具来简化它。
译自Build Kubernetes Security on Intents, Not Rules，作家 Manas Chowdhury。
跟着 Kubernetes 的发展和选拔率的提高，确保其安全性仍然是企业的首要任务。跟着组织扩大其Kubernetes 的使用，他们在保护其环境方面靠近着越来越大的挑战。把柄Red Hat的 2024 年 Kubernetes 安全状态叙述，67% 的受访者因 Kubernetes 安全问题而蔓延或放缓了应用样式开荒。
本文将匡助首席安全官 (CSO) 和DevOps 工程师了解：
料理Kubernetes安全性的主要挑战。传统安全递次的不及之处。需要基于意图的 Kubernetes 安全性监控。
Kubernetes 安全性如斯复杂的原因
由于 Kubernetes 集群由多个微行状和组件构成，因此每个微行状和组件皆可能是挫折者的潜在进口点。从实质上讲，步履部分越多，挫折面就越大。
关于严重依赖这些系统的组织来说，这可能会带来问题。Kubernetes 建立中只需一步演叨，就可能导致严重风险，举例数据知道或未经授权打听责任负载。
此类环境中的安全过失可能是危急的。它不仅会毁伤您公司的声誉，还会失去客户的信任。
还需要磋议财务影响，举例非法反应本钱、业务损成仇监管罚金，以及效用行业章程，举例PCI DSS。这些章程旨在保护数据。不效用章程可能会导致大批罚金和处罚。
Kubernetes 安全性的 5 大挑战
有少许很明确，Kubernetes 的后劲与其风险非常（如果不是更大），除非它得到恰当保护。规画词，公司发现确保 Kubernetes 集群的各个方面得到保护极具挑战性。
Kubernetes 的多方面性质意味着组织必须宝贵安全性在不同的层面上，包括基础设施、收集运行时、容器运行时、抵制面板等。
以下是组织在跨这些层建造安全性时靠近的主要挑战：
1. 推广挫折面
每个 Kubernetes 集群皆有多个微行状和组件在环境中交互，这为挫折者加多了潜在的进口点。您部署的容器和集群越多，挫折面就越大，从而更难查明和鲁莽过失。
2. 建立料理
由于东说念主为罪责导致的罪责建立是 Kubernetes 中的主要挑战之一。
在云安全播客的一蕴蓄，Madhu Akula，一位了得的安全携带者和 Kubernetes Goat 的创建者，说：
“Kubernetes 本人在联想上并不是固有地易受挫折，但安全问题平常源于罪责建立。举例，收集安全战略 (NSP) 关于抵制 Pod 之间的流量至关要紧，但好多组织冷落了实施它们，不测中使应用样式靠近未经授权的打听。”
由于容器是动态的，因此很难笃定是什么导致了罪责建立并保握一致的安全态势。
3. Pod 到 Pod 的收集
Kubernetes 提供了横暴的收集建立选项，允许集群中的所有这个词 Pod 默许互换取讯。如果一个 Pod 遭到碎裂，它可能会挫折其他 Pod，除非缔造了恰当的收集战略。
假定一家金融行状公司部署了一个由多个微行状构成的应用样式，举例用户料理行状、往来处理行状、客户维持行状和分析行状，每个行状在单独的 Pod 中运行。
默许情况下，Kubernetes 允许所有这个词 Pod 互换取讯，从而创建一个灵通收集。因此，如果挫折者运用用户料理行状 Pod 中的过失，该 Pod 老成用户身份考据和存储明锐用户数据，他们不错使用此启动立足点来扫描和运用其他 Pod 中的过失。
4. 软件供应链问题
Kubernetes 环境严重依赖于雄壮的软件供应链，包括应用样式组件和CI/CD管说念。此链中的任何部分（举例逾期的库或弱打听抵制）中的过失皆可能带来严重的安全风险。
在另一个云安全播客中，收集安全从业者Michael Fraser说：
“在 CI/CD 管说念中保护 Kubernetes 是一项多方面的挑战，需要握续的警惕——它不仅波及保护集群，还确保每次部署、建立和交互皆能起义握住变化的威迫。”
料理这些供应链复杂性需要从开荒到运行时的刚劲抵制。
5. 基础设施安全
保护 Kubernetes 基础设施波及保护抵制平面组件（如 API 行状器）和责任节点。不管您是在腹地料理 Kubernetes 如故使用云行状，保护这些组件皆可能很复杂。
对此安全性的包袱级别把柄您是使用云提供商如故我方处理而有所不同，加多了零散的复杂性。
传统安全方法为何不及
固然以下惩处决策在更静态的单体架构中可能灵验，但它们在当代 Kubernetes 集群的动态散布式环境中频频不及。
以下是传统 Kubernetes 安全惩处决策的一些主要抵制：
被迫，而非主动
传统安全方法侧重于运行时安全扫描，仅在威迫被激活时才检测到威迫——换句话说，在形成毁伤之后。这不仅会留住一个关节的过失窗口，还会在问题升级之前难以缓解问题。
举例，2017 年，最大的信用叙述机构之一 Equifax 碰到了大边界数据知道，影响了1.47 亿东说念主。此次知道是由 Apache Struts（一个开源 Web 应用样式框架）中的一个过失形成的，而 Equifax 未能实时修补。Equifax 的安全措檀越如果被迫的。他们仅在挫折者仍是运用该过失后才发现该过失。
这种方法导致了严重的财务和声誉毁伤，凸显了在威迫被运用之前惩处威迫的主动安全惩处决策的必要性。
性能支出
传统的安全契约将蓄意流程堆积起来以实践不同的任务，包括加密、解密、考据或签名数据。
这不仅会导致性能问题，还会加多蔓延，影响行状质地和用户体验。
举例，在通过公司收集传输大文献之前对其进行加密可能会引入蔓延。这可能会放慢关节业务应用样式，如金融往来或实本领析。
逾期信息
逾期的安全方法依赖于已知过失的既定数据库来识别和煦解风险。规画词，这些方法对零日挫折无效，零日挫折运用昔时未知的劣势或新发现且未编目的威迫。
因此，系统仍然容易受到传统方法无法检测或预防的新兴且未纪录的安全风险的挫折。
这些传统安全递次平常需要赶上散布式和动态的 Kubernetes 集群。这一差距指出了一个惩处决策的紧要性，该惩处决策不仅不错实时预计和摈斥威迫，还不错保握高性能。
基于意图的安全料理
Nimbus是 AccuKnox 宝贵的一个开源器具，它通过简化和自动化安全料理为 Kubernetes 安全提供了新的见解。该器具包专注于安全意图，而不是特定的战略和器具。正如 README 所讲明的：“Nimbus 旨在将安全意图与其现实达成折柳，即使用战略引擎以及相应的战略和司法。”
主邀功能包括：
基于意图的安全料理：用户界说安全意图，举例“留意权限晋升”，而 Nimbus 通过恰当的战略和器具处理达成。自动战略生成：Nimbus 使用 Kubernetes 的主动伙同逻辑来生成和实践与界说的安全意图一致的战略。天真性和稳健性：Nimbus 不错与各式战略引擎配合使用，并稳健变化，举例从一个容器收集接口 (CNI) 切换到另一个，而无需手动重新建立。
通过款式安全意图，Nimbus 裁减了料理多个器具和战略的复杂性，使组织鲁莽更纵脱地在 Kubernetes 环境中保握刚劲的安全态势。
Nimbus 的责任旨趣
Nimbus 通过将安全料理的复杂性轮廓为更易于料理的框架来运作。以下是其责任旨趣：
1. 界说安全目的
第一步是界说组织的高等安全条目。这可能是“抵制对明锐数据的打听”或“留意对建立进行未经授权的改造”。这些高等安全目的也称为“意图”。
2. 自动化战略颐养
接下来，Nimbus 选拔这些横暴的目的，并将它们解析为具体的可操作战略和司法。它使用各式战略引擎来强制实践具体递次。
举例，如果你的目的是壅塞权限晋升，Nimbus 将创建司法来强制实践该目的，举例抵制谁获取料理员权限并监控任何很是步履。
3. 握续伙同
Nimbus 耐久保握警惕，密切款式你的环境，以确保一切按预期责任。如果发生变化，Nimbus 会主动颐养司法以稳健新情况。
4. 使用 Kubernetes 的内置系统
Nimbus 使用 Kubernetes 的内置系统进行握续的 Kubernetes 安全监控和颐养。这意味着即使你的环境跟着新应用样式、更新或改造而握住发展，Nimbus 也不错无缝稳健这些修改，与你的安全目的保握一致，以保握预防的主动性和稳健性。借助自动战略生成和天真性，Nimbus 不错匡助你在握住变化的环境中进步于威迫。
讲求
传统的安全递次不再适用于动态的 Kubernetes 环境。如果你的组织仍在依赖这些方法，请自问：
如果一个过失数周未被发现，会对你的业务产生什么影响？安全过失在声誉和收入失掉方面会形成多大失掉？你确刻下递次是否足以留意关节应用样式开荒中的蔓延？
如果你的终末一个问题的谜底是狡赖的，那么是本领选拔更好的方法了。
AccuKnox Kubernetes 安全惩处决策专为运行时保护、威迫检测和章程驯顺性而联想篮球投注app。不要恭候挫折者深切——立即使用 AccuKnox 保护你的环境。