Open source behavior container analysis

Когда дело доходит до обеспечения runtime безопасности контейнерной среды, как правило, используют PSP и AppArmor, Seccomp, SELinux профили. Это, в свою очередь, создает еще больше сложностей, ведь при отсутствии понимания о работе своих приложений, есть высокий риск порезать нужную привилегию. С этой целью многие организации начинают присматриваться к коммерческим решениям, где есть встроенный функционал профилирования и автоматическое генерирование политик. Тем не менее, далеко не все знают про наличие open-source утилит. Вот некоторые из них:
- kube-psp-advisor для генерирования PSP
- oci-seccomp-bpf-hook и go2seccomp для генерирования seccomp-профилей
- inspektor-gadget для генерирования network policies
- udica для SELinux

В бонус к этому месяц назад на Kubecon North America 2020 Virtual был доклад Pod Security as an Afterthought, где спикер подробно рассказывает про работу некоторых из этих утилит.

#k8s #docker #ops