Bezpečnost v Kubernetes - kurz 50 000 rub. ze Slurmu, školení, Datum: 28. listopadu 2023.

#1. Úvod

Řekneme vám vše o procesu učení a o tom, jak získat přístup.

#2: Úvod do zabezpečení projektu Kubernetes

Úkol inženýra: Pochopit základní bezpečnostní principy projektu žijícího v Kubernetes. Vědět o modelech hrozeb.

Praxe a teorie: Co je zabezpečení projektu v kontextu Kubernetes? Sec, Dev, Ops – jak se může každý spřátelit a žít šťastně?

č. 3: Ochrana clusteru Control Plane

Úkol inženýra: Zabránit útočníkovi v převzetí kontroly nad clusterem. Znáte osvědčené postupy pro ochranu hlavních součástí Kubernetes a mějte po ruce kontrolní seznam, který vám umožní zkontrolovat, zda projekt neobsahuje potenciální zranitelnosti.

Praxe a teorie: API nezabezpečeného portu, ochrana ETCD, anonymní autorizace, na co si ještě dát pozor? Jak můžete pomocí srovnávacích testů CIS zlepšit svou bezpečnost?

č. 4: Autorizace, autentizace a účtování v Kubernetes

Úkol inženýra: Pochopit na hluboké úrovni, jak funguje autorizace a ověřování v clusteru Kubernetes, a vědět, jak je správně připravit. Být schopen tyto procesy nejen bezpečně nastavit, ale také je vizualizovat a zjednodušit proces identifikace uživatele pomocí Keycloak.

Praxe a teorie: Jak použít Keycloak k vytvoření fungujícího, pohodlného a bezpečného procesu identifikace uživatelů v clusteru? Jak funguje autorizace a ověřování v Kubernetes?

#5: Automatizace skenování

Úkol inženýra: Naučit se pracovat s bezpečností na počátku projektu - ve fázi psaní kódu.

Praxe a teorie: Jak se ujistit, že v psaném kódu nejsou žádné zranitelnosti? Jak mohou nástroje jako Sast/SecretScan pomoci a jak je používat? Jak analyzovat citlivá data přímo v CI?

#6: Použití Policy Engine a Admission Controllers

Úkol inženýra: Umět konfigurovat zásady zabezpečení pomocí Policy Engine uvnitř clusteru Kubernetes. Porozumět tomu, jak fungují Admission Controllers, a vědět, jak lze nahradit bezpečnostní politiku Pod.

Praxe a teorie: Jak pomocí zástupců Policy Engine, jako je Kyverno nebo Open Policy Agent, ovládat vše, co se v clusteru vytvoří a nahradit většinu Admission Controllerů, jako např PSP? Jak fungují Admission Webhooky a jak je lze použít k ověření a změně téměř čehokoli v clusteru?

#7: Zabezpečení kontejneru

Úkol inženýra: Znát nástroje, které mohou zajistit bezpečnost kontejneru a maximálně zkomplikovat život útočníkovi.

Praxe a teorie: Jak je to se SELinuxem a Kubernetesem, je to nutné? Mám používat AppArmor nebo ne? Jak utáhnout šrouby na kontejnerových procesech pomocí profilů a schopností Seccomp? Jaké jsou nejlepší postupy pro zabezpečení kontejnerů v kontextu Kubernetes a mimo něj?

#8: Bezpečné uložení tajemství

Úkol inženýra: Vědět, jak správně uložit vaše citlivá data v clusteru Kubernetes.

Praxe a teorie: Kde a jak ukládat hesla a tokeny vašeho projektu, aby byly v bezpečí?

#9: Síť Kubernetes

Úkol inženýra: Umět flexibilně vytvářet a spravovat síťová pravidla v clusteru Kubernetes.

Praxe a teorie: Jak organizovat síťovou izolaci prostředí v rámci klastru? Jak zajistit, aby projekt přistupoval přes síť pouze k vybraným koncovým bodům?

#10: Správa hrozeb v Kubernetes

Úkol inženýra: Uvědomte si, na co je třeba ve svém projektu dávat pozor z hlediska bezpečnosti a v jakých bodech držet palce.

Praxe a teorie: Jak pozorovatelnost pomáhá v zabezpečení projektu?