Как и обещал сегодня поделюсь своим мнением о наиболее интересных моментах из документа "
Guidance for Containers and Container Orchestration Tools" и, конечно, это будет из раздела
3.1 Threats and Best Practices, как самого интересного с технической точки зрения.
1) Я не понял смысл и пользы от разделения на
“Applicable to Use Case”. В некоторых моментах я вообще не согласен. Например, пункт
11.1 Resource Management говорит, что работа с
Limits есть только в
Containerization in a Mixed Scope Environment, а в других случаях не важно. Поэтому я бы советовал смотреть на эти колонки с достаточной толикой скептицизма.
2) Важный пункт
4.1,4.2 Network Security прямо говорит о подходе запрещено все, что не разрешено и не двузначно намекает о использовании
NetworkPolicy ;)
3) Удивило требование
4.3 Network Security про шифрование общения с
API оркестатора, которое я нигде ранее не встречал. В угрозе написано про
"packet sniffing or spoofing attacks", но подобного я лично никогда не наблюдал, хотя теоретически это возможно и скорее всего атакующий будет это делать в тех условиях, когда это можно сделать другим более легким способом.
4) В пункте
6.1 Secrets Management прямым текстом написано, что для работы с секретами нужно использовать стороннее решение за пределами кластера:
"should be held in encrypted dedicated secrets management systems".
Seald Secret и подобные проекты по
push-модели совсем не в почете?!
5) Пункт
8 Container Monitoring - бальзам на мою душу, так как это было в точности то, что мы в первую очередь реализовали в
Luntry.
6) Пункт
9 Container Runtime Security (почему-то он не часть пункта
8) несет в себе как по мне спорные моменты - мы увеличиваем изоляцию, но теряем в наблюдаемости. И, по сути, выигрыш только в усложнении побега из контейнера через уязвимости ядра и не более.
7) Понравился пункт
13.2 Registry в котором говорится про
Registry Staging, о котором я писал
недавно.
8) Пункт
15. Configuration Management полезная напоминала про важность
pre-prod окружения для
security.
9) Пункт
16. Segmentation это про
multitenancy ;)
