Инструменты безопасности в Deckhouse Kubernetes Platform

Профиль аудитории:

Курс предназначен для DevOps-инженеров, системных инженеров Kubernetes, инженеров по безопасности (Security Engineer) и специалистов по информационной безопасности.

Предварительные требования:

• Знать основные понятия и сущности Kubernetes (pod, deployment, service, ingress)
• Уметь работать с утилитой kubectl

По окончании курса слушатели смогут:

• Познакомится с основами ИБ в Kubernetes и DKP.
• Научится:
  • управлять admission controllers, создавать и применять сетевые политики;
  • создавать и применять аутентификаторы для доступа в DKP, а также распределять на них права доступа;
  • создавать и применять системы для управления цифровыми сертификатами и хранения секретов в DKP;
  • проверять пользовательские образы на уязвимости, искать угрозы безопасности в кластере, реализовывать правила аудита.

Модуль 1. Основы информационной безопасности в Kubernetes и Deckhouse Kubernetes Platform

Получить знания об основах безопасности в Kubernetes и DKP, а также о концепции Zero Trust в информационной безопасности.

Теория:

• Стандарты безопасности и модель 4C
• Процесс обеспечения информационной безопасности (ИБ) информационной системы; модели ИБ
• Zero Trust для Kubernetes и DKP
• Проекты, направленные на безопасность Kubernetes
• Нейтрализация рисков при использовании контейнеризации в DKP
• Аспекты безопасности кластера DKP на основе модели Zero Trust

Практика:

Тестирование по теме.

Модуль 2. Безопасность пода

Научиться создавать и применять политики безопасности для подов, а также управлять Admission controllers для ограничения ресурсов в объектах кластера.

Теория:

• Pod Security Standards
• Параметры безопасности пода (Security Context)
• Концепция Admission controllers
• Возможности модуля admission-policy-engine DKP: расширение стандартных политик, операционные и собственные политики
• Admission controllers: ResourceQuota, LimitRange, PodNodeSelector

Практика:

Работа со стандартными политиками безопасности пода, создание собственного ограничения и операционной политики, работа с Admission controllers.

Модуль 3. Сетевые политики безопасности. Mutual TLS

Научиться создавать и применять сетевые политики для пространств имён и других объектов кластера, создавать и применять взаимную достоверную аутентификацию сервисов, а также шифрование сетевого трафика кластера.

Теория:

• CNI, Cilium
• Network Policy, CiliumNetworkPolicy
• Примеры сетевых политик
• mTLS на основе Istio
• Политики авторизации в Istio

Практика:

Создание сетевых политик для различных объектов кластера, шифрование сетевого трафика кластера, создание политик авторизации Istio.

Модуль 4. Управление доступом

Научиться создавать и применять аутентификаторы для доступа в DKP, а также распределять на них права доступа.

Теория:

• Аутентификация в кластере DKP: сертификаты X.509, ServiceAccount, OIDC-провайдеры, модуль user-authn DKP
• Текущая ролевая модель
• Экспериментальная ролевая модель

Практика:

Создание пользователя и группы пользователей, защита приложения с помощью DexAuthenticator, применение ролей из различных моделей.

Модуль 5. Управление сертификатами. Хранение и доставка секретов из Stronghold

Научиться создавать и применять системы для управления цифровыми сертификатами и хранения секретов в DKP, а также доставлять различные секреты в приложения.

Теория:

• Модуль cert-manager DKP
• Deckhouse Stronghold: функциональные характеристики, сферы применения и работа с секретами
• Доставка секретов в приложения
• Механизм секретов PKI
• Механизм для работы с SSH-ключами

Практика:

Работа с сертификатами в DKP, доставка секретов в приложения с помощью Deckhouse Stronghold, работа с PKI Deckhouse Stronghold.

Модуль 6. Выявление уязвимостей и аудит безопасности в кластере

Научиться проверять пользовательские образы в runtime на известные уязвимости, искать угрозы безопасности в кластере, а также реализовывать правила аудита.

Теория:

• Недоверенные репозитории и подмена образов
• Сканирование образов: модуль operator-trivy DKP
• Проверка соответствия кластера требованиям безопасности
• Аудит Kubernetes API
• Модуль runtime-audit-engine DKP. Falco

Практика:

Выявление уязвимостей в подах, защита от уязвимых образов, настройка политики аудита API-сервера и правил аудита Falco.