Certified Kubernetes Security Specialist (CKS)

• CERtyfikat CKA (Certified Kubernates Administrator)

Publiczność

• Kubernetes praktyków

Kubernetes to system open-source służący do automatyzacji wdrażania, skalowania i zarządzania konteneryzowanymi aplikacjami.

Certified Kubernetes Security Specialist (CKS) to oparty na wynikach egzamin certyfikacyjny, który sprawdza wiedzę kandydatów na temat Kubernetes i bezpieczeństwa chmury w symulowanym, rzeczywistym środowisku.

To prowadzone przez instruktora szkolenie na żywo (online lub na miejscu) jest przeznaczone dla Kubernetes praktyków, którzy chcą przygotować się do egzaminu CKS.

Pod koniec tego szkolenia uczestnicy będą wiedzieć, jak zabezpieczyć środowiska Kubernetes i aplikacje oparte na kontenerach na różnych etapach cyklu życia aplikacji: kompilacji, wdrażania i uruchamiania.

Format kursu

• Interaktywny wykład i dyskusja.
• Dużo ćwiczeń i praktyki.
• Praktyczne wdrożenie w środowisku live-lab.

Opcje dostosowywania kursu

• Aby zamówić niestandardowe szkolenie dla tego kursu, skontaktuj się z nami.

Wprowadzenie

Konfiguracja klastra

• Korzystanie z zasad bezpieczeństwa sieci w celu ograniczenia dostępu na poziomie klastra
• Wykorzystanie benchmarku CIS do przeglądu konfiguracji zabezpieczeń komponentów Kubernetes (etcd, kubelet, kubedns, kubeapi).
• Prawidłowa konfiguracja obiektów Ingress z kontrolą bezpieczeństwa
• Ochrona metadanych węzłów i punktów końcowych
• Minimalizacja użycia i dostępu do elementów GUI
• Weryfikacja plików binarnych platformy przed wdrożeniem

Utwardzanie klastra

• Ograniczenie dostępu do Kubernetes API
• Używaj kontroli dostępu opartych na rolach, aby zminimalizować narażenie.
• Zachowaj ostrożność podczas korzystania z kont usług, np. wyłącz domyślne ustawienia, zminimalizuj uprawnienia na nowo utworzonych kontach.
• Często aktualizuj Kubernetes

Wzmocnienie systemu

• Minimalizacja śladu systemu operacyjnego hosta (zmniejszenie powierzchni ataku)
• Minimalizacja ról IAM
• Minimalizacja zewnętrznego dostępu do sieci
• Odpowiednie wykorzystanie narzędzi do wzmacniania jądra, takich jak AppArmor, seccomp

Minimalizacja podatności mikrousług

• Konfiguracja odpowiednich domen zabezpieczeń na poziomie systemu operacyjnego, np. przy użyciu PSP, OPA, kontekstów zabezpieczeń.
• Zarządzanie sekretami kubernetes
• Korzystanie z kontenerowych piaskownic środowiska uruchomieniowego w środowiskach wielodostępnych (np. gvisor, kontenery kata)
• Wdrażanie szyfrowania pod to pod przy użyciu mTLS

Supply Chain Security

• Minimalizacja śladu obrazu bazowego
• Zabezpieczenie łańcucha dostaw: biała lista dozwolonych rejestrów obrazów, podpisywanie i walidacja obrazów
• Analiza statyczna obciążeń użytkownika (np. zasoby kubernetes, pliki docker)
• Skanowanie obrazów pod kątem znanych luk w zabezpieczeniach

Monitorowanie, rejestrowanie i zabezpieczenia środowiska uruchomieniowego

• Przeprowadzanie analizy behawioralnej aktywności procesów syscall i plików na poziomie hosta i kontenera w celu wykrywania złośliwych działań.
• Wykrywanie zagrożeń w infrastrukturze fizycznej, aplikacjach, sieciach, danych, użytkownikach i obciążeniach.
• Wykrywanie wszystkich faz ataku, niezależnie od miejsca jego wystąpienia i sposobu rozprzestrzeniania się.
• Przeprowadzanie dogłębnych badań analitycznych i identyfikacja złych aktorów w środowisku
• Zapewnienie niezmienności kontenerów w czasie wykonywania
• Wykorzystanie dzienników audytu do monitorowania dostępu

Podsumowanie i wnioski