Tetragon wprowadza bezpieczeństwo uruchomieniowe eBPF w jądrze dla flot cloud-native

Tetragon, podprojekt Cilium i projekt Cloud Native Computing Foundation, zapewnia zespołom pracującym z Kubernetes obserwowalność środowiska uruchomieniowego oraz opcjonalne egzekwowanie zasad w jądrze oparte na eBPF. Dla dostawców usług zarządzanych obsługujących mieszane floty klientów dodaje warstwę wykrywania i kontroli, która działa poniżej tego, co widzą skanery kontenerów i kontrolery przyjęć.

Egzekwowanie działające wewnątrz jądra

W przeciwieństwie do narzędzi, które przesyłają każde zdarzenie do przestrzeni użytkownika, zanim podejmą decyzję, Tetragon filtruje i egzekwuje zasady bezpośrednio w programie eBPF obserwującym wywołanie systemowe. To zamyka okno między wykryciem a reakcją, które pozostawiają otwarte narzędzia działające wyłącznie w przestrzeni użytkownika, i utrzymuje narzut na tyle niski, że nadaje się do użycia produkcyjnego. Projekt może śledzić uruchamianie procesów, dostęp do plików i aktywność sieciową, a następnie powiązać każde zdarzenie z podem i kontenerem, które je wygenerowały, bez dodatkowego sidecaru dla każdego obciążenia.

Jak wpisuje się w istniejące mechanizmy kontrolne

Tetragon nie zastępuje skanowania obrazów ani bramek CI; obejmuje to, co dzieje się po uruchomieniu obciążenia. Praktyczne wdrożenie zaczyna się od małych kroków: zinwentaryzuj, w których przestrzeniach nazw zastosowano już TracingPolicy, a następnie rozszerz zasięg najpierw na krytyczne obciążenia klientów. Zasady powinny znajdować się w systemie kontroli wersji jak każda inna konfiguracja, aby zmiany przechodziły ten sam przegląd co kod.

• Zacznij od zasad wyłącznie ostrzegających w newralgicznych przestrzeniach nazw, zanim włączysz egzekwowanie blokujące.
• Jako pierwsze reguły wykrywania obserwuj nieoczekiwane uruchamianie procesów i dostęp do wrażliwych plików.
• Przekazuj zdarzenia Tetragon do systemu SIEM używanego już do alertów z pozostałej floty.
• Przechowuj definicje zasad w git, aby zmiany były przeglądane jak kod.

Uzupełnienie w zakresie higieny sekretów

Tetragon obserwuje działające obciążenia; nie sprawdza tego, co jest już zapisane w repozytorium. TruffleHog, szeroko stosowane narzędzie open source do skanowania sekretów, wypełnia tę lukę, znajdując i weryfikując poświadczenia w kodzie, zanim trafią na produkcję. Uruchamianie go w CI przy każdym pull requeście oraz weryfikowanie znalezisk przed każdą rotacją sprawia, że oba narzędzia koncentrują się na różnych etapach tego samego problemu.

Żadne z tych narzędzi nie zastępuje drugiego. Połączenie egzekwowania w czasie działania ze skanowaniem sekretów przed zatwierdzeniem daje dostawcom MSP pokrycie na obu końcach potoku bez dodawania szczegółów dotyczących ataku do dokumentacji przeznaczonej dla klientów.

Źródła: Dokumentacja Tetragon, GitHub — cilium/tetragon.