Welche Praktiken kennen Sie, um die Sicherheit der Anwendung in Kubernetes zu verbessern?

• Verwendung von Netzwerkrichtlinien zur Steuerung des Datenverkehrs zwischen Pods.
• Anwendung von Ressourcenquoten und Limit-Bereichen, um den Ressourcenverbrauch der Pods zu begrenzen.
• Deaktivierung des privilegierten Modus für Container.
• Minimierung der Privilegien, die Service-Accounts gewährt werden.
• Verwendung von Secrets zur Speicherung sensibler Daten.
• Regelmäßiges Scannen von Container-Images auf Schwachstellen.
• Anwendung von Security Context Constraints (SCC) in OpenShift oder Pod Security Policies (PSP) (veraltet) / Pod Security Standards in reinem Kubernetes.
• Einsatz von Tools zur Cluster-Auditierung, wie Kubesec oder OpenSCAP.
• Umsetzung des Prinzips der minimalen Privilegien auf Cluster- und Anwendungsebene.
• Segmentierung von Pods und Namespaces.
• Verwendung von Unveränderlichkeit für Deployments.

Beispiel für die Verwendung einer Netzwerkrichtlinie:

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-frontend-to-backend
spec:
  podSelector:
    matchLabels:
      app: backend # Gilt nur für Pods mit diesem Label
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend # Erlaubt eingehenden Traffic nur von Frontend-Pods
    ports:
    - protocol: TCP
      port: 8080 # Erlaubt Traffic nur auf diesem Port

Beispiel für die Verwendung des Security Context:

apiVersion: v1
kind: Pod
metadata:
  name: security-context-demo
spec:
  securityContext:
    runAsUser: 1000 # Container als Benutzer mit ID 1000 ausführen
    runAsGroup: 3000 # Container als Gruppe mit ID 3000 ausführen
    fsGroup: 2000 # Das Dateisystem gehört zur Gruppe 2000
  containers:
  - name: sec-ctx-demo
    image: busybox
    command: [ "sh", "-c", "sleep 1h" ]
    securityContext:
      allowPrivilegeEscalation: false # Privilegienerhöhung verbieten
      readOnlyRootFilesystem: true # Root-Dateisystem nur lesbar machen