NSA (и я об этом писал), затем все писали про инструмент Kubescape для проверки по данному гайду (я об то не писал).И пока совсем без внимания остается статья "NSA & CISA Kubernetes Security Guidance – A Critical Review" от известной
security компании. Статья состоит из 3-х частей: что хорошего, что плохого и что забыто в данном гайде.На том что там хорошего - останавливаться не будем, лишь процитирую авторов по этому поводу: "Each of these points relate back to the generic guidance for almost any platform, regardless of the technology in use"
Про плохое (страдает точность, актуальность и полнота):
-
PSP Deprecation - про данный факт ни слова.-
Admission Controllers - практически не упоминаются, хотя это мощнейший инструмент k8s.-
Inconsistencies/Incorrect Information - опечатки/неточности про порты.-
Authentication Issues - ошибка что в k8s нет аутентификации по умолчанию.Последнюю часть характеризует цитата: "With a project as complicated as Kubernetes, it is not possible to cover every option and every edge case in a single document, so trying to write a piece of one size fits all guidance won’t be possible. "). То есть там авторы говорят о том, что вообще не было рассмотрено в документе:
-
Levels of Audit Data -
Sidecar Resource Requirements -
External Dependencies are essential -
RBAC is hard -
Patching Everything is hard