增强云安全：Kubernetes 安全的四个关键实践#
原文作者：Upkar Lidder 是 Tenable 的高级产品经理。他在 IT 开发方面拥有 10 多年的经验，包括团队管理、职能领导和技术领导角色。他带来了全栈技术方面的丰富经验。Upkar 目前专注于左移、容器和云原生环境中的安全性和 DevSecOps
译者：BlueDog
在当今快速发展的云环境中，确保 Kubernetes 环境的强大安全措施对于组织来说已变得至关重要。虽然云原生基础设施的优势是不可否认的，但安全团队常常难以解决 Kubernetes 管理核心的安全难题。他们知道需要一种方法将安全性嵌入到标准开发人员工作流程和集群部署中，但总而言之，创建连续且安全的 GitOps 非常困难
在这篇博文中，我们将深入研究四个可以立即实施的关键最佳实践，以增强 Kubernetes 部署的安全性并保护您的云原生基础设施
使用可靠的策略管理 Kubernetes 错误配置#
建立和执行可靠的策略是增强 Kubernetes 安全性的第一步。在整个开发生命周期中一致应用策略有助于减少错误配置并降低安全风险。例如，策略可以禁止以 root 权限运行容器或限制对 Kubernetes API 服务器的公共访问。利用开放策略代理 (OPA) 等策略框架和互联网安全中心 (CIS) 等行业基准可以帮助强化 Kubernetes 环境并防止错误配置影响生产。定期重新审视和更新策略，以适应不断变化的安全要求
在开发过程中实施安全防护措施#
Kubernetes 安全应该从开发过程的早期开始。如果您的团队采用基础设施即代码（IaC）实践来进行系统的配置和部署，那么可以将这种方法扩展到包括策略即代码。这样可以确保在软件开发生命周期中一致地应用安全策略。开发人员可以利用安全扫描工具，在本地测试、持续集成 / 持续交付（CI/CD）流水线、容器镜像注册表和 Kubernetes 环境中识别其代码中的漏洞。利用开源 IaC 静态代码扫描工具等面向开发人员友好的工具，可以无缝地将安全性整合到开发过程中，并帮助防止不安全的代码进入环境
了解并修复容器镜像的漏洞#
容器镜像漏洞对 Kubernetes 安全构成了重大挑战。在您的环境中，了解容器镜像的内容和构建方式至关重要。由于担心会减慢开发过程，开发人员经常忽视图像扫描。然而，忽略识别过时的操作系统（OS）镜像、配置错误的设置、嵌入式凭据和秘密信息、未经验证的软件包、不必要的服务以及暴露端口会引入安全风险，并最终导致整个软件交付流程变慢。实施全面的扫描流程来检测和修复容器镜像中的漏洞。同时注意注册表和主机基础设施的安全性
全面的风险管理#
要有效地管理 Kubernetes 安全，必须从整体上看待您的基础架构。并非所有策略都适用于所有情况，那么您如何应用排除规则呢？并非每个漏洞都是关键的，那么您如何确定修复优先级并自动化处理呢？这些问题可以引导您变得更加主动而不是被动。最终，在 Kubernetes 和云原生环境中，可见性对于管理安全至关重要。您必须意识到当配置偏离了安全基线时，并且需要识别失败的策略和错误配置。只有这样才能完整地了解攻击面的情况