什麼是 Kubernetes 執行階段安全性？工具與最佳實務

很難想像現代雲端原生應用程式會沒有 Kubernetes。然而，它也帶來了一些複雜的安全挑戰。了解如何保護您的 Kubernetes 環境免受執行階段威脅，並讓您的關鍵工作負載遠離風險。

Kubernetes 是一個開源平台，可讓您自動化容器化應用程式的部署、擴展與管理。說 Kubernetes 已徹底改變軟體建置與部署的方式並不為過。它可以跨多個主機協調複雜的應用程式——這項能力使 Kubernetes 成為雲端型應用程式的標準。

隨著應用程式日益複雜，以及其元件具備分散式且相互連結的特性，攻擊面也隨之擴大。保護 SDLC 的每個階段及其後續環節變得十分重要。這就是 Code to Cloud Security 發揮作用之處。同樣重要的是，保護容器映像與 Kubernetes 控制平面免受惡意攻擊。本文將聚焦於如何在執行階段保護 Kubernetes。

什麼是 Kubernetes 執行階段安全性？

Kubernetes 執行階段安全性是指在容器化應用程式於 Kubernetes 叢集中執行時，對其進行保護的實務。執行階段安全性可確保應用程式受到保護，以防範可能在部署後階段出現的威脅。

為什麼 Kubernetes 執行階段安全性很重要？

即使應用程式在開發階段經過嚴格的安全檢查，且也已採取措施確保容器映像安全，漏洞仍可能滲入生產階段。Kubernetes 的執行階段安全性可確保任何此類漏洞都能立即被偵測並處理。

即使經過嚴格掃描的容器映像，也可能包含會在執行階段為攻擊利用開啟途徑的漏洞。受感染的容器可能會嘗試在主機系統內取得權限，或惡意行為者可能會試圖在容器與節點之間進行橫向移動，以擴大破壞。Kubernetes 執行階段安全性對於處理這些問題是必要的。

Kubernetes 執行階段安全性的重點關注領域

• 動態環境保護: Kubernetes 中的工作負載組態持續變化。執行階段安全性必須適應這種動態性，才能提供即時保護。
• 細緻的網路控制: 必須精確控制容器之間的通訊，以防止入侵者進行lateral movement。
• 防止供應鏈攻擊: Kubernetes 執行階段安全性實務的目標之一，是在部署前偵測惡意程式碼，並在執行階段定期對映像進行安全評估。
• 快速事件回應: Kubernetes 的執行階段安全性必須讓安全團隊或業務使用者能在發生入侵時快速啟動事件回應。

Kubernetes 執行階段安全性威脅

我們已經討論過，為何 Kubernetes 執行階段安全性對於保護在 Kubernetes 叢集中執行的應用程式至關重要。在本節中，我們將探討各種使 Kubernetes 需要執行階段安全性的威脅因素。應用程式在執行階段面臨的主要安全威脅可分為五大類。

容器層級威脅

這是指源自個別容器的漏洞。這些漏洞可能危及應用程式以及主機系統。容器層級的安全問題可能有多種類型。

1. 映像漏洞： 映像或軟體藍圖中的任何缺陷，只要可能危及容器或主機系統的安全性，就是映像漏洞。其可能源自過時的軟體套件、不安全的組態或惡意程式碼。部署前的漏洞掃描通常會找出所有映像漏洞，但仍可能有例外。
2. 權限提升: 如果惡意行為者取得容器存取權，他們可能會藉由利用漏洞或利用容器所具備的不必要權限來提升其存取層級。
3. 逃逸嘗試: 容器的設計是將其內容與主機系統隔離——這正是使用容器的一半目的。然而，駭客可能利用容器層級的執行階段漏洞，試圖逃離這種限制。
4. 惡意程式碼注入: 攻擊者可以將惡意程式碼引入正在執行的容器中，並可能擴散到叢集的其他部分。

主機層級威脅

1. 主機遭入侵: 如果承載容器的實體或虛擬機器遭到入侵，  就可能為攻擊者提供鎖定容器所需的立足點。
2.  資源濫用: 容器有意或無意地消耗過多資源，可能導致阻斷服務。容器可能使用過多 CPU 週期，或傳送與接收過多網路流量。這些問題可能造成系統不穩定與阻斷服務。這可能成為一種攻擊向量，例如DDoS attack、資料外洩或加密貨幣挖礦。

叢集層級威脅

叢集層級威脅鎖定的是整個 Kubernetes 叢集——其所有節點及其中包含的應用程式——而非個別容器。此類攻擊可能使叢集停擺，導致叢集中執行的所有應用程式無法使用。

1. 未經授權的存取: 具有未經授權存取 Kubernetes API 權限的惡意行為者可能會濫用這些資源。
2. API 濫用： 合法使用者可能會濫用 Kubernetes API 以造成損害或中斷。
3. 機密竊取： Kubernetes Secrets 會儲存 API 金鑰、密碼、SSH 金鑰、OAuth 權杖等敏感資訊。這些機密一旦暴露，可能成為重大威脅。
4. 橫向移動： 攻擊者可在叢集內的容器之間移動，進而擴散感染。

網路層級威脅

節點與外部系統之間通訊通道中的弱點，可能構成各種類型的網路層級威脅。

1. 輸出流量： 未受控的輸出流量或對外流量可能導致資料外洩與暴露，進而造成未經授權的存取或資料竊取。
2. 中間人 (MitM) 攻擊： 任何未加密的網路通訊都容易受到中間人攻擊。
3. DoS 攻擊： 駭客可利用大量偽造流量癱瘓網路，以干擾叢集作業。

其他威脅

1. 供應鏈攻擊： 對軟體供應鏈的攻擊可能影響多個容器。例如，這可透過惡意軟體注入來實現。
2. 內部人員威脅： 心懷惡意的員工可能利用其對叢集的特權存取權限造成損害。

Kubernetes 執行階段安全性如何因應這些挑戰？

我們已討論各種威脅因素如何危及容器、叢集，甚至執行 Kubernetes 叢集的主機電腦。本節將聚焦於您可部署的防禦機制，以確保 Kubernetes 的執行階段安全性。

網路安全

• 網路政策： 在 Pod 與服務之間建立明確且細緻的通訊規則，可降低未經授權存取、竊聽及中間人攻擊的可能性。
• 網路分段： 您可以將工作負載隔離到較小的網路區段中，以控制攻擊面，並限制遭入侵後的潛在影響。
• 輸入與輸出控制： 管理進出叢集的流入與流出流量，有助於防範外部威脅與資料外洩。

威脅偵測與防護

• 入侵偵測與防護系統 (IDPS)： IDPS 可監控網路流量中的可疑活動與異常，並即時封鎖威脅。
• 安全資訊與事件管理 (SIEM)： 這可關聯整個叢集中的安全事件，以發現潛在威脅。

存取控制

• 角色型存取控制 (RBAC)： 僅授予立即所需資源的存取權限，並搭配時間參數，可限制特權存取。
• 機密管理： 具備集中式存取控制的加密機密儲存庫，對於維持安全性與可用性至關重要。

資源保護

• 資源配額與限制： 設定 CPU、記憶體及其他資源的使用限制相當重要，以防止資源耗盡與 DoS 攻擊。
• 監控： 持續追蹤資源使用情況並建立警示機制，有助於防止資源濫用。

映像檔與相依性安全

• 映像檔掃描： 持續分析容器映像檔中的弱點，可防止部署已遭入侵的軟體，並同時防範執行階段威脅。

• 相依性管理： 過時或遭入侵的相依性可能會引入可被利用的安全缺口。確保相依性保持最新可防止此類問題。

事件回應

• 事件回應計畫： 擁有預先定義的計畫，以快速控制安全事件並根除威脅，有助於減少停機時間並有效處理安全事件。
• 安全自動化： 將事件回應的例行步驟自動化，可縮短回應時間、消除人為錯誤，並強化修復流程。

實作 Kubernetes 執行階段安全性的 5 項最佳實務

除了靈活性與可擴充性之外，Kubernetes 也帶來一些獨特的安全挑戰。我們已經討論過Kubernetes 安全性的關鍵組成元件。以下最佳實務將協助您為 Kubernetes 環境實作強大的執行階段安全性。

1. 落實最小權限原則

為使用者與服務帳戶提供最低必要的存取權限與許可，是最小權限原則的核心。實作此原則的最佳方式，是採用遵循一句簡單座右銘的零信任架構：永不信任，一律驗證。這會在整體環境中引入驗證機制，無論您位於公司網路內部或外部皆然。

2. 著重映像安全性

容器映像與相依性的健康狀態必須隨時受到監控。必須定期進行弱點掃描，並搭配健全的修復週期。使用不可變的容器映像來防止執行階段修改，是一個不錯的做法。

3. 使用 Runtime Application Self-Protection (RASP)

RASP 可即時深入掌握應用程式行為。它能偵測異常，並透過封鎖惡意輸入或終止工作階段，採取必要步驟來對抗威脅要素。

RASP 能夠區分合法與惡意活動，因此可減少誤判。部署 RASP 可帶來極大效益。

4. 強大的網路安全措施

網路分段、實作 Ingress 與 Egress 控制，以及加密網路流量等步驟，對於保護網路通訊可能至關重要。

5. 建立安全文化

透過可靠的 CI/CD 整合，將安全性嵌入 SDLC。這將建立穩定的弱點評估循環。為員工提供基於角色的訓練，與定期進行內部和外部稽核以衡量安全整備程度同樣必要。這些做法將轉化為更佳的執行階段安全性。

Kubernetes 執行階段安全工具

有許多不同的工具，包含商業與開源工具，可協助您為 Kubernetes 環境實作執行階段安全性。我們將在本節討論其中幾種工具。

1. SentinelOne

SentinelOne 擁有一個全面性的雲端安全平台，名為 Singularity。Kubernetes Sentinel 是該平台的一個元件。它以對容器的執行階段警戒取代生產前容器掃描。這是自動化 Kubernetes 執行階段安全性的最佳選項之一。

2. Falco

Falco 是一款開源工具，可偵測容器與主機中的異常。它會監控 Kubernetes 執行階段，並在發現異常行為時發出警示。

3. Kube-hunter

另一款開源工具 Kube-hunter 是專為識別叢集組態中的弱點而設計。

4. Kube-bench

此工具會根據 CIS Kubernetes Benchmark 所標準化的安全最佳實務，檢查您的 Kubernetes 叢集。

除此之外，還有 Armo、Palo Alto Networks 等熱門商業工具，可協助解決您的 Kubernetes 相關安全問題。

使用 SentinelOne 實現 Kubernetes 執行階段安全性

SentinelOne 專注於為客戶提供真正全面的雲端原生安全平台。Kubernetes 執行階段安全性以及整體容器安全性，是該目標中非常重要的一部分。

SentinelOne 具備專用於雲端工作負載的代理程式，可對執行中的 Kubernetes 叢集進行即時監控。透過持續的弱點分析，SentinelOne 可確保您的應用程式在正式環境中的安全態勢維持良好。保護 Kubernetes 叢集在應用程式安全中扮演重要角色，而 SentinelOne 能妥善做到這一點。SentinelOne 的 Singularity Cloud Workload Security 可保護容器化工作負載免受零時差、勒索軟體等執行階段威脅。

SentinelOne Singularity Data Lake 為安全分析師提供調查事件、縮短回應時間及支援威脅狩獵所需的可視性。

適用於容器的雲端工作負載代理程式主要功能

• 支援 14 種領先的 Linux 發行版本，包括 Amazon Linux 2023
• Snyk 整合（必須另外購買）
• 支援 Docker、containers、cri-o 執行階段
• 無需核心模型、自動擴展保護，以及即時 CWPP
• 自行管理與受管 K8s 服務
• 採用 eBPF 架構以提升穩定性與效能
• 透過 Workload Flight Data Recorder™ 加速調查與 IR（事件回應），並強化威脅狩獵能力

採用 SentinelOne 進行 Kubernetes 安全防護的整體業務效益

• 精簡的安全營運可減少業務停機時間
• 最佳化資源利用率
• 有助於滿足產業法規與合規要求

快速回顧

在本文中，我們探討了 Kubernetes 執行階段安全性的關鍵本質。

• 我們討論了可能危及容器化環境的威脅，從映像檔漏洞到網路層級攻擊。
• 我們討論了 Kubernetes 執行階段安全性如何應對這些威脅因素。
• 我們討論了重要的最佳實務，例如實施強大的存取控制、健全的網路政策，以及建立安全文化。
• 我們談到了在 SentinelOne 協助下進行持續監控與執行階段警示管理。

See SentinelOne in Action

Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.

Get a Demo

結論

Kubernetes 叢集構成了大多數使用容器化的現代應用程式核心。惡意行為者經常將容器作為目標，以取得未經授權的存取權限，並在叢集之間進行橫向移動。Kubernetes 執行階段安全性可確保容器映像檔不含安全漏洞、容器具不可變性，且沒有任何執行階段安全威脅或執行階段安全風險籠罩應用程式。

Kubernetes 執行階段安全性的多面向方法包括網路安全、存取監控與安全控制、映像檔安全等。使用高品質的 RASP 機制可讓安全專業人員更輕鬆。最後，像 SentinelOne 這樣的工具可減輕 容器安全 以及整體雲端安全的壓力。