Интеграция SECURITM с Kubernetes

Контейнерная инфраструктура меняется быстрее любой другой. Приложения разворачиваются и масштабируются по несколько раз в день, образы обновляются, появляются новые пространства имен. Традиционный реестр активов за этим не успевает, и для службы ИБ кластеры Kubernetes часто остаются черным ящиком, о котором знают только разработчики и DevOps.

Интеграция забирает из Kubernetes описание рабочих нагрузок и показывает его в SECURITM рядом с остальной инфраструктурой.

Что появляется в реестре

SECURITM получает из кластера Deployment, StatefulSet и DaemonSet с пространством имен и датой создания. Для каждого из них разбираются контейнеры и образы, из которых они собраны. У контейнера видно количество подов. Связи строятся автоматически: контейнер располагается на ресурсе и содержит образ.

Метрики по кластерам

После подключения в модуле метрик появляются показатели по каждому типу объектов: DaemonSet, Deployment, StatefulSet, контейнеры и образы. Служба ИБ видит объем контейнерной инфраструктуры и его динамику без запросов к администраторам. Подключить можно сколько угодно кластеров.

Зачем это службе ИБ

Когда в каком-то образе находят проблему, сначала нужно понять, где он запущен. С интеграцией ответ есть в реестре активов SECURITM, потому что по образу видно, в каких контейнерах и ресурсах он используется. Приложения из Kubernetes можно связать с ИТ-сервисами и процессами, оценить для них риски и назначить защитные меры. Объекты, которых больше нет в кластере, можно автоматически отправлять в архив по заданному сроку.

Аккуратное подключение

Для интеграции выпускается отдельный токен с нужными правами. Если токену доступно только одно пространство имен, SECURITM импортирует только его. Между запросами к кластеру можно задать паузу, чтобы синхронизация не нагружала API-сервер.

Как начать

Для подключения нужны адрес кластера и токен сервисной учетной записи, параметры можно загрузить из файла kubeconfig. Интеграция настраивается в профиле команды SECURITM, инструкция есть в справке. Как выглядит реестр активов на живых данных, можно посмотреть на демонстрации системы.