DevSecOps Talks

Друзья, у нас внутри разгорелся жаркий спор на тему блокирования сборок и коммитов в реальной жизни, а не в документах. Мы решили вынести этот вопрос в такое вот голосование 😊

Jless: удобный просмотр json-файлов

Всем привет!

Возможно, вы когда-нибудь задумывались: «Эх, было бы классно совместить vim и jq!». Чтож, вы не одиноки!

Jless – утилита, которая как раз реализует подобное, позволяя упростить просмотр json-файлов прямо в терминале. И, самое главное, по заверению разработчиков «Exit jless; don't worry, it's not as hard as exiting vim».

При помощи нее можно перемещаться по файлу, используя привычные j, k, /searchpattern и многое другое.

С небольшой демо можно ознакомиться прямо на сайте, User Guide доступен тут, а исходники – на GitHub ☺️

Headlamp: yet another Kubernetes UI

Всем привет!

Если вам хочется попробовать еще один Web UI для Kubernetes, отличный, например, от Lens или k9s, то можно попробовать Headlamp.

Продукт разрабатывался командой Kinvolk, которая стала частью Microsoft. HeadLamp легковесен, прост в установке и использовании. И, конечно же, open source.

При помощи него можно:
🍭 Получать сводную информацию о кластере / кластерах
🍭 Реализовывать R/W-операции на основании предоставленных прав
🍭 Устанавливать в кластер или локально
🍭 Обладает системой «расширений» за счет plugins

Подробнее про него можно узнать в статье или в документации.

OSC&R: техники и тактики атак на software supply chain

Всем привет!

На сайте можно ознакомиться с «братом меньшим» матрицы MITRE – OSC&R (Open Software Supply Chain Attack Reference).

Материал содержит набор тактик и техник, которые могут быть использованы для совершения атак на цепочку поставок ПО. Сгруппирован, как и «старший брат», по шагам kill-chain.

Кроме этого, материал структурирован по разделам:
🍭 Container Security
🍭 Open Source Security
🍭 SCM Posture
🍭 Code Security и т.д.

Для каждой тактики есть кратко описание и меры, которыми можно воспользоваться для противодействия.

Митап «Контейнерная оркестрация на отечественном»

17 августа на техническом митапе разберемся в российских платформах контейнерной оркестрации. Расскажем, с какими отечественными платформами на основе k8s не страшно идти в продуктив, как они устроены, и покажем, как они выглядят вживую.

🔹Как эффективно запустить современное приложение в продуктивном окружении?
🔹Какое платформенное решение нужно разработчикам сегодня?
🔹Какие российские платформы контейнерной оркестрации выбирать Enterprise-компаниям?

Что в программе?
🔹Обзор рынка платформ контейнерной оркестрации: тренды в построении платформ для разработчиков, рынок отечественных решений и что у них «под капотом», наш short list — что действительно стоит рассматривать и почему
🔹Live-demo решений «Штурвал» и Deckhouse
🔹Выступление независимого эксперта «Как превратить инфраструктуру в супергероя «captain k8s»

Для кого митап?
🔹Системные архитекторы
🔹Инженеры DevOps
🔹ИТ-специалисты, интересующиеся темой DevSecOps

⏰ Когда?
17 августа, 17:30

📍Где?
Offline в офисе «Инфосистемы Джет» или online

✅ Регистрация

State of Kubernetes Security Report

Всем привет!

В приложении доступен отчет от Red Hat, посвященный безопасности Kubernetes. Все «стандартно» для такого рода материалов.

Внутри можно найти:
🍭 Наиболее «распространенные» инциденты ИБ
🍭 Основные опасения при использовании контейнеров (ну хоть тут ИБ «победила» 😊)
🍭 Распределение ответственности за безопасность k8s
🍭 Самые «популярные» типы misconfigurations
🍭 Какие open source инструменты чаще всего используются и не только

Отчет небольшой (~16 страниц), ничего лишнего – только данные и выводы.

Supply Chain Security для Golang

Всем привет!

По ссылкам доступен набор статей от Google, посвященный безопасности supply chain при использовании Golang.

В них рассматривается:
🍭 Управление уязвимостями в Golang. Использование OSV и govulncheck, который не только идентифицирует уязвимости в используемых компонентах, но и показывает «что реально используется»
🍭 Существующие атаки на зависимости и что Golang может предложить. Например, Go Checksum Database, в которой содержится информация о SHA-256 hash для всех публично доступных Golang модулей, что позволяет контролировать целостность
🍭 Shift Left (куда без него 😊). VS Code Extensions и FUZZ тестирование

В статьях много интересных ссылок на дополнительные источники информации. А все упомянутые проекты – open source, можно брать и смотреть!

Testing Handbook

Всем привет!

Команда Trail Of Bits (если кто не знает, то именно эта контора делала один из аудитов ИБ Kubernetes, в 2019) анонсировала Testing Handbook!

Со слов Авторов, это «shortest path for developers and security professionals to derive maximum value from the static and dynamic analysis tools». Материал создан на основе опыта Trail Of Bits, полученного при анализе проектов.

Пока что доступна только первая глава, посвященная Semgrep. В ней можно найти:
🍭 Установка и первые шаги
🍭 Advanced usage
🍭 Интеграция в CI
🍭 Ссылки на дополнительные ресурсы

Надеемся, что ребята не забросят этот проект и Handbook будет только наполняться информацией. А мы, в свою очередь, будем держать вас в курсе ☺️

Устройство сети Kubernetes

Всем привет!

Весьма объемная статья (~ 36 минут), в которой очень детально описано устройство сети Kubernetes. Начиная с простого создания pod sandbox, создания правил маршрутизации при помощи kube-proxy и разрешения имен с использованием CoreDNS, Автор все глубже погружает читателя в то, что происходит «под капотом».

А что может быть лучше для таких целей, чем самим побыть в роли Kubernetes и реализовать то, что он реализует самостоятельно (ну почти)? Ни-че-го!

Автор реализует следующие шаги:
🍭 Создание сетевых пространств имен Client и Server
🍭 Настройка сетевой связности между этими пространствами имен с использованием bridge
🍭 Реализация аналогичных активностей, но теперь Client и Server находятся на разных хостах. Использованием eth0
🍭 После этого Автор возвращается к сущностям Kubernetes и объясняет устройство сети уже с их использованием

И, что самое классное – все команды есть в статье! А также много-много-много схем, которые позволяют улучшить понимание того, что происходит.

State of Open Source Security

Всем привет!

В приложении можно найти легкое пятничное чтиво. Отчет, посвященный open source от Snyk.

Внутри можно найти:
🍭 Статистику по сканирования приложений
🍭 Данные об использовании средств защиты цепочки поставки ПО
🍭 Способы проверки open source компонентов
🍭 Сведения о том, как часто Компании сталкиваются с проблемами при использовании open source и не только

Отчет небольшой (~ 19 страниц), много инфографики и выводов.

#мероприятие
1 августа присоединяйтесь к вебинару «“Штурвал”. Алертинг»

Разработчик программного обеспечения «Лаборатория Числитель» и компания «Инфосистемы Джет» проведут четвертый практический вебинар, посвященный работе с платформой управления контейнерами «Штурвал».

Спикеры разберут, как настроить оповещения при различных условиях:
🔹Не запускается экземпляр развёрнутого приложения (Pod doesn't schedule)
🔹Узел создан/удалён/недоступен
🔹Кластер полностью недоступен

Демонстрацию решения проведут:
🔹Александр Краснов, CTO «Лаборатории Числитель»
🔹Иван Колесников, инженер отдела систем мониторинга «Инфосистемы Джет»

Вебинар будет интересен DevOps-инженерам и DevOps-администраторам.

✅ Регистрация

🟥 Записи прошедших вебинаров доступны на YouTube-канале «Лаборатории Числитель»

Kraken: P2P Docker Registry

Всем привет!

Герой сегодняшнего поста – Kraken – разработка Uber, которая представляет из себя P2P Docker Registry. Во главу угла поставлена масштабируемость и доступность.

Концептуально представляет из себя набор хостов, которые являются seeder’ами, агенты, которые устанавливаются на узлы кластера и набор дополнительных компонентов, которые управляют работой всей сети.

Может подойди, если у вас в инфраструктуре есть большое количество узлов и потребность в распространении образов. В repo можно найти benchmark, в которого указано время загрузки 3G Docker image на 2600 узлов, при этом загрузка осуществлялась параллельно.

Подробнее прочитать про Kraken и его возможности можно в документации из repo проекта.

GitLab: Hardening

Всем привет!

В статье приводится минималистичный перечень рекомендаций, который позволяет повысить уровень безопасности GitLab.

В нем указаны:
🍭 Реализовать многофакторную аутентификацию
🍭Настроить дополнительные sign-up checks
🍭Ограничить видимость проектов и групп
🍭 Реализовать hardening SSH
🍭 Настроить ограничения (лимиты) для учетных записей
🍭 Обезопасить секреты в CI
🍭 Настроить защиту веток для CI

«Хм, очевидно же!» - можете подумать вы. Все так! Но самое интересное в завершении статьи. Ссылка на официальную документацию GitLab, где можно найти расширенный перечень рекомендаций по безопасности GitLab и материалы по его hardening.

Semgrep Assistant

Всем привет!

Наверное, каждый задумывался о том, чем ему могут быть полезны нейронные сети. ИБ-специалисты не исключение. Возможно, вы задавались вопросами: «А может ли сеть анализировать результаты на наличие false-positive? Делать triage?» или нечто другое.

Команда Semgrep не исключение. Последние месяцы они проводили тестирование Semgrep Assistant. Его задача – помогать идентифицировать false-positive и писать правила для анализа.

Каков результат? По мнению команды тестирования – с анализом false-positive "полет нормальный" и им вполне можно пользоваться. А вот с написанием правил ситуация иная – он сможет помочь в написании базовых правил, сложные пока ему не даются.

Подробнее про путь Команды и про дальнейшие планы можно прочесть в статье. Есть еще одна хорошая новость! Сейчас Assistant доступен всем желающим (для GitHub) и можно «включить» эту опцию, если захотите попробовать самостоятельно.

Самая бесполезная docker-команда

Всем привет!

Небольшой пятничный пост, чтобы немного поднять вам настроение. В статье Автор описывает самую бесполезную docker-команду.

Собственно, вот она:

docker run -ti 
    --privileged 
    --net=host --pid=host --ipc=host 
    --volume /:/host 
    busybox 
    chroot /host

А почему? А потому что можно! А зачем? Кто его знает 😊

P.S. Хотя, бывают случаи, что это и правда нужно для debug в определенных условиях (например, в Fedora CoreOS). Но и тут есть специализированные инструменты, о которых мы писали ранее

CodeQL: From zero to hero, Part 2

Всем привет!

Вторая статья серии, посвященной CodeQL (о первой мы писали тут). На этот раз речь пройдет не про общие концепты статического анализа, а непосредственно про сам CodeQL.

Статья содержит информацию:
🍭 Общий принцип работы CodeQL
🍭 «Первое сканирование» с использованием GitHub Actions
🍭 База данных CodeQL: создание, переиспользование
🍭 Написание собственных CodeQL Query: основы, Predicates, Classes и т.д.

В статье очень много примеров, каждый из которых разбирается практически «line-by-line» и отлично помогает разобраться в основах CodeQL. Однозначно рекомендуем к прочтению, как и первую статью серии! ☺️

25 Methods for Pipeline Attacks

Всем привет!

В статье собраны примеры того, как можно что-то «получить» или сделать «плохо» при неправильной конфигурации pipeline.

Например:
🍭 Добавление unauthorized user в качестве approver
🍭 Извлечение секретов и переменных окружения
🍭 Изменение конфигурационных файлов приложения и другие

Для каждого примера приводится описание сценария и примеры команд, как это можно реализовать. В завершении статьи примеры того, как этого можно не допустить.

Нюансы проверки подписи в Kubernetes

Всем привет!

Подпись образов, их аттестация и последующая проверка при создании ресурсов Kubernetes становится все более и более привычной практикой. Появляются новые механизмы, обрастают функционалом существующие.

Но все ли так просто, неужели нет «подводных камней»? Ответ можно найти в статье от Chainguard, в которой Автор описывает несколько нюансов, связанных с проверкой подписи.

В их число входят:
🍭 Resource Type. Важно учитывать, что «местоположение» контейнера в манифесте будет разным, например, для Pod, Deployment или CronJob
🍭 Scale. Потенциальный rate limit для container registries, связанный с большим количеством запросов при проверке подписи, важность использования cache
🍭 Tags and digest. Особенности, связанные с «конвертацией» tag – digest
🍭 Attestations and additional data. Больше данных – больше проверок, что может увеличить время анализа и быть заметно на масштабе
🍭 Key Rotation. Управление ключами, используемыми для подписи образов

Все очень структурированно и доступно описано. Что делать с описанными выше нюансами? У Chainguard есть мнение и на этот счет! В завершении статьи можно найти ссылку на их проект – Chainguard Enforce (увы, не open source).

Labeling в Kubernetes

Всем привет!

Простой пост понедельника, посвященный Labels. Механизм повсеместно используется в Kubernetes. При этом есть как «системные» Labels (нужны для работы Kubernetes), так и «пользовательские» (упрощают понимание контекста).

В статье приведены рекомендации о том, как именно их стоит указывать. За основу взят материал из официальной документации k8s, который рекомендует указывать:
🍭 Name
🍭 Instance
🍭 Version
🍭 Component
🍭 Part-of
🍭 Managed-by

Рассматриваются примеры реализации, в том числе на базе существующих и популярных решений мира контейнеризации. Помимо этого, можно найти рекомендации об использовании Labels в multitenant-инсталляциях.