Tetragon porta la sicurezza runtime eBPF nel kernel per flotte cloud-native

Tetragon, un sottoprogetto di Cilium e un progetto della Cloud Native Computing Foundation, offre ai team che lavorano con Kubernetes osservabilità runtime e applicazione opzionale delle policy nel kernel basata su eBPF. Per i fornitori di servizi gestiti che amministrano flotte miste di clienti, aggiunge un livello di rilevamento e controllo che si colloca al di sotto di ciò che gli scanner di container e gli admission controller possono vedere.

Applicazione delle policy nel kernel

A differenza degli strumenti che inviano ogni evento allo spazio utente prima di decidere cosa fare, Tetragon filtra e applica le policy direttamente all'interno del programma eBPF che osserva la syscall. Questo chiude la finestra tra rilevamento e azione che gli strumenti solo in spazio utente lasciano aperta e mantiene l'overhead abbastanza basso per l'uso in produzione. Il progetto può tracciare l'esecuzione dei processi, l'accesso ai file e l'attività di rete, quindi collegare ogni evento al pod e al container che lo ha prodotto, senza un sidecar per carico di lavoro.

Dove si inserisce accanto ai controlli esistenti

Tetragon non sostituisce la scansione delle immagini o i gate di CI; copre ciò che accade dopo che un carico di lavoro è già in esecuzione. Un'implementazione pratica inizia in piccolo: fai l'inventario di quali namespace hanno già una TracingPolicy applicata, quindi estendi la copertura prima ai carichi di lavoro critici dei clienti. Le policy appartengono al controllo di versione come qualsiasi altra configurazione, quindi le modifiche passano attraverso la stessa revisione del codice.

• Inizia con policy solo di avviso sui namespace sensibili prima di abilitare l'applicazione bloccante.
• Controlla l'esecuzione imprevista di processi e l'accesso a file sensibili come prime regole di rilevamento.
• Inoltra gli eventi di Tetragon al SIEM già utilizzato per gli altri avvisi della flotta.
• Conserva le definizioni delle policy in git in modo che le modifiche vengano revisionate come il codice.

Un compagno per l'igiene dei segreti

Tetragon osserva i carichi di lavoro in esecuzione; non controlla ciò che è già stato committato in un repository. TruffleHog, uno strumento open source ampiamente utilizzato per la scansione dei segreti, colma questa lacuna trovando e verificando le credenziali nel codice prima che raggiungano la produzione. Eseguirlo in CI su ogni pull request e verificare i risultati prima di qualsiasi rotazione mantiene i due strumenti concentrati su fasi diverse dello stesso problema.

Nessuno dei due strumenti sostituisce l'altro. Combinare l'applicazione runtime con la scansione dei segreti prima del commit offre agli MSP una copertura a entrambe le estremità della pipeline senza aggiungere dettagli sugli attacchi alla documentazione rivolta ai clienti.

Fonti: documentazione di Tetragon, GitHub — cilium/tetragon.