Startseite > Security > Kubernetes-Bodyguard

Mehr Sicherheit für Container

Kubernetes-Bodyguard

17. November 2020, 7:00 Uhr | Roman Borovits/wg

Fortsetzung des Artikels von Teil 1

Cloud-native Sicherheit

Im zweiten Schritt sollten Unternehmen Cloud-native Sicherheitswerkzeuge einsetzen, um die gesamte Anwendungsentwicklung abzusichern, von der CI/CD-Pipeline bis zur Laufzeit. Hier ist zu beachten, dass Schwachstellen-Scans bereits während eines Builds beginnen und sich bis in die Produktion fortsetzen müssen, um eine umfassende Sicherheit zu gewährleisten. Es reicht hier nicht, Überprüfungen nur am Ende der Entwicklungsphase durchzuführen. Zudem müssen Unternehmen die Skalierung der Prozesse berücksichtigen. Die Verwaltung und Sicherung hunderter separater Cluster, die oft über mehrere Clouds verteilt sind, erweist sich schnell als echtes Problem. Der beste Weg zur Compliance ist ein globales Multi-Cluster-Management-System, das im Einklang mit zentral durchgesetzten Sicherheitsrichtlinien steht.

Um einen sicheren Kubernetes-Cluster mit Verschlüsselung zwischen den Pods sowie einen konsistenten und überprüfbaren Sicherheitsansatz zu erhalten, bietet sich ein Service-Mesh mit Sidecar Proxy an. Das Service-Mesh fügt automatisch mTLS zwischen allen Diensten im Kubernetes-Cluster hinzu und bietet so eine umfassende Verschlüsselung, um sichere und regelkonforme Anwendungen zu erstellen. Da das Service-Mesh die Verschlüsselung durchführt, kann es Sicherheitsrichtlinien im Klartext durchsetzen, wo immer dies nötig ist. Zudem erfasst es Schwachstellen und erstellt einen Katalog für Compliance-Richtlinien. Dabei erfolgt die Absicherung in folgenden Phasen:

1. Ingress verbindet Nutzer sicher mit den Micro-Services.
2. Mutual TLS verbindet Micro-Services in einem Cluster sicher miteinander.
3. Sidecar bildet die Sicherheitsschicht für jede Anwendung und Sprache.
4. Egress sichert und kontrolliert den Zugang zu externen Dienstleistungen.

Aktuelle Lösungen fügen eine weitere Sicherheitsebene hinzu, um gefährlichen Datenverkehr zu überwachen und abzuwehren. Solch eine Lösung lässt sich als Ingress Controller mit Kubernetes integrieren, sodass festgelegte Regeln den am Perimeter eingehenden Traffic überwachen. Damit stellen Unternehmen auch sicher, dass nur autorisierte Nutzer über die rollenbasierte Zugriffskontrolle (RBAC) Zugriff erhalten. Dies ermöglicht eine flexible Steuerung des Zugriffs auf Namensraum-, Service- und Methodenebene für Dienste im Mesh.