Изучение безопасности Kubernetes

Автор

Кайчжэ Хуанг

Пранджал Джумде

Редактор ввода в эксплуатацию

Вайджин Борича

Редактор приобретения

Мита Раджани

Редактор разработки содержимого

Роуми Диас

Главный редактор

Эйрун Нэйдар

Технический редактор

Сарвеш Джайант

Литературный редактор

Safis Editing

Координатор проекта

Нейл Дмелло

Корректор

Safis Editing

Составитель указателя

Рикха Наир

Технолог

Эйпарна Бхагат

Если вы пока не применяли Kubernetes, это вскоре произойдёт.

Kubernetes не просто де факто единственная проблема для запуска соременных, основанных на службах приложениях. По мере того как производители быстро овладевают им, он также становится основной Операционной системой самого облака. Основная причина для этого успеха состоит в том, что Kubernetes является мощным, многосторонним и разработанным с учётом жизненных циклов современного программного обеспечения. С дрогой стороны, Kubernetes также и сложная зверюга. Прошли те времена, когда запуск программного обеспечения означал управление процессами на одном сервере. Теперь вам требуется иметь дело с контейнерами, работающими в кластерах, которые могут достигать размеров тысяч машин, к которым имеют доступ многие разработчики, организованные в группы с различными обязанностями.

Безопасность традиционно была важной областью внимания при запуске программных приложений, причём будь они большими или малыми. Однако резкое увеличение сложности и дополнительные степени своюоды делают безопасность Kubernetes ещё более критически важной и сложной!

Без всяких сомнений, безопасность является одной из наиболее важных сторон запущенных в промышленном варианте приложений Kubernetes. Правильная методология безопасности Kubernetes, помимо прочего, включает защиту контейнера через сканирование образов, обеспечение соблюдения принципа наименьших привилегий, защиту модулей во время выполнения и сегментирование сетевой среды. Всё это происходит при сборе достаточных сведений, чтобы понять когда возникает некая угроза и какой радиус поражения появился после неё.

С этим сложно справляться и это требует значительной подготовки. Один из моментов, который мне более всего нравится в Open Sourse, состоит в том, что всё что вам требуется для самостоятельного обучения доступно вам в нескольких форумах: в документации, руководствах, резервных каналах, конференциях. Kubernetes, с этой точки зрения, не является исключением. Его гигантское сообщество создало большой объём контента и вы несомненно можете пользоваться им дабы стать экспертом. В качестве альтернативы, изучив эту книгу вы можете стать экспертом по безопасности Kubernetes, воспользовавшись мудростью двух опытных операторов, которые живут и дышат безопасностью Kubernetes и делали это годами.

Эта книга спокойно проведёт вас, начиная с введения в лежащие в основе Kubernetes основные понятия на высоком уровне, влоть до погружения в более сложные и тонкие аспекты защиты промышленного кластера. Она сделает это просто осваиваемым, даже если вы не являетесь экспертом, но в то же время , предоставит полезные сведения даже когда у вас имеется опыт работы в этой области. Читая её, я особенно оценил вопросы в конце каждой главы, в которых вы можете проверить то что вы изучили. Также мне понравился раздел ссылок, показывающий где ещё вы можете получать дополнительные сведения.

Основав Sysdig, одну из ведущих компаний в области безопасности Kubernetes, я считаю себя достаточно хорошо осведомлённым в этом вопросе. В то же самое время, авторы этой книги, это люди, к которым я обращаюсь в случае, когда чо- то выходит за рамки моей кометентности или когда я хочу узнать нечто новое. Вы не будете разочарованы, если сделаете то же самое.

Приятного чтения.

Лорис Деджоанни

Основатель и Главный технический директор Sysdig

Кайчжэ Хуанг является исследователем безопасности в Sysdiag, где он исследует как защищать Kubernetes и контейнеры от атак в диапазоне от веб атак к атакам ядра. Кайчжэ один из сопровождающих Falco, некого проекта CNCF инкубационного уровня и первоначальным автором множества проектов с открытым исходным кодом, таких как kube-psp-advisor. Прежде чем присоединиться к Sysdiag, в качестве сотрудника Stackrox, Кайчжэ помог построить конвейер определения данных, проведения исследований безопасности, а также инновационных регистраций на основе обучения машин. Первоначально, в качестве главного инженера безопасности Oracle он помогал в построении продуктов безопасности: Database Vault, Database Privilege Analyzer и Database Assessment Tool. Кайчжэ владеет степенью магистра в области информационной безопасности Университета Карнеги- Меллона.

Я хочу поблагодарить свою любимую жену, Мелоди, а также членов моей семьи - без вашей поддержки и молитв я бы не смог завершить эту книгу. Спасибо моему управляющему, Оумеру, за предоставленную мне возможность и свободу исследовать и вводить новшества. Спасибо моим коллегам по Sysdiag, вы всегда вдохновляли меня. Спасибо тебе, Пранджал, - без твоей приверженности я бы не смог этого сделать. Спасибо всем в моей издательской команде. Спасибо моей собаке Эмме, которая помогала мне расслабляться во время написания.

Пранджал Джумде является старшим инженером по безопасности Brave Inc. В сфере безопасности он работал над различными сторонами безопасности, такими как безопасность браузера, безопасность ОС/ ядра, DevSecOps, безопасность веб приложений, восстановлению вредоносного программного обеспечения, автоматизация безопасности и разработка средств безопасности/ конфиденциальности. До прихода в Brive в качестве сотрудника DevSecOps, Пранджал помогал в разработке выявления и принудительного применения функциональных возможностей для платформы обнаружения времени выполнения. Он также работал в Apple и Adobe, в которых он занимался разработкой функциональных возможностей для упрочнения различных платформ. Пранджал владеет степенью магистра в области информационной безопасности Университета Карнеги- Меллона. Он также представлял свои исследования на различных конференциях, таких как ACM CCS и BSides SF/Delhi.

Я бы хотел поблагодарить своего соавтора, Кайчжэ, за всё его доверие мне. Без его поддержки и приверженности завершить эту книгу было бы невозможно. Семья является самой сильной поддержкой, которую может получить кто бы то ни было - без такой поддержки меня эта книга не стала бы возможной. Особая благодарность моей жене Свете за её терпение, поощрение и поддержку. Отдельное спасибо всей редакции за всю их помощь.

Мадху Эйкула является исследователем безопасности естественных облачных решений и интенсивным опытом в облачных решениях, контейнерах, Kubernetes и автоматизации безопасности. Он часто выступает и обучается на конференциях по безопасности по всему миру, включая конференции DEFCON, BlackHat, USENIX, GitHub, OWASP Appsec, AllDayDevOps, DevSecCon, Nullcon и c0c0n. Его исследования выявили уязвимости в более чем 200 компаниях и продуктах, включая Google, Microsof, AT&T, Wordpress, Ntop и Adobe. Он является соавтором Security Automation with Ansible 2, которая перечисляется Red Hat в качестве технического ресурса. Мадху является активным членом сообществ по международной безопасности, DevOps и облачным технологиям, а также владеет отраслевыми сертификатами, такими как OSCP и CKA.