Erhöhte Sicherheit durch Kubernetes: Praktische Tipps zur Absicherung von Containernetzwerken

Die Sicherheit spielt beim Einsatz von Containern eine besonders wichtige Rolle. Das Open-Source-System Kubernetes  hat sich zum Standard bei der Automatisierung, Bereitstellung, Skalierung und Verwaltung von Container-Anwendungen entwickelt und erfordert deshalb besonderes Augenmerk bei der Sicherheit.

In diesem Artikel haben wir einen kleinen Leitfaden zusammengestellt, wie Ihr Kubernetes betreiben könnt und welche Aspekte dabei zu berücksichtigen sind.

Sicherheitsscanner: Was für Arten gibt es überhaupt?

Sicherheitsscanner ist ein Sammelbegriff für Programme die Prüfungen im Sicherheitsbereich durchführen. Im Allgemeinen unterteilt man diese in drei Kategorien.

Schwachstellen Scanner

Schwachstellen Scanner sind vielleicht die bekanntesten Vertreter der Sicherheitsscanner. Sie prüfen auf bekannte Schwachstellen und liefern im besten Fall weitere Informationen zu der Schwachstelle und ob es schon eine neuere Version mit einem Fix gibt. Diese Scanner können in der Regel Container Images scannen oder auch laufende Betriebssysteme. Schwachstellenscanner nutzen klassisch die Betriebssystem Paketinformationen als Datenquelle, doch immer mehr Scanner können auch Programmiersprachen eigene Installationssysteme wie npm oder Go Libraries erkennen und nutzen.

Secret Scanner

Die Secret Scanner sollen verhindern, dass in einem Repository API Keys oder Passwörter im Klartext eingecheckt werden. Dies wird meist im Bereich von Infrastruktur as Code (IaC) Daten genutzt, oder auch bei klassischen Entwicklungsdaten. Gerade bei diesem Anwendungsfall wird klar, dass diese Art von Scan so früh wie möglich im Entwicklungsprozess zu nutzen um den Aufwand, um Secrets aus einem Repo zu entfernen, so gering wie möglich zu halten.

Best-Practice Scanner

Hier ist der Einsatzzweck ganz klar auf IAC Dateien gerichtet. So soll möglichst früh erkannt werden, ob Best Practices eingehalten werden und Fehlkonfiguration vermieden werden. Was kann man sich darunter vorstellen? Ein einfaches Beispiel ist, bei der Prüfung von Dockerfiles ob ein anderer User als root genutzt wird, oder im Kubernetes Umfeld ob die Versionen der genutzten Images gepinnt sind oder der Tag latest, bzw. gar kein Tag verwendet wird.

Warum ist es sinnvoll Sicherheitsscanner zu benutzen?

Die Nutzung der verschiedenen Scanner zielt eigentlich immer auf zwei Anwendungsszenarien ab. Bei bestehenden Infrastrukturen und Repositories kann geprüft werden ob bisher alles in Ordnung ist, oder Verbesserungen ratsam sind, z.B. weil API Keys im Repository eingecheckt wurden. Gleichzeitig lassen sich die gleichen Scanner auch nutzen um in den bestehenden Entwicklungsprozess integriert zu werden und so dafür zu sorgen, dass in Zukunft solche Probleme gar nicht mehr entstehen können. Durch diese Verlagerung, of auch "shift left" genannt, wird die Qualität des Prozesses und der Ergebnisse erhöht. Bei Container Images ist es ebenfalls ratsam diese schon vor dem pushen in eine Registry auf Schwachstellen zu prüfen, damit man bei der Auslieferung einen möglichst guten Stand ohne bekannte Schwachstellen hat. Jede Schwachstelle und jedes Problem das gar nicht erst ausgerollt wird, erspart natürlich im Nachgang Aufwand um selbiges zu beheben. Natürlich müssen auch bestehende Konfigurationen oder laufende Images zyklisch geprüft werden, da in der Zwischenzeit neue Schwachstellen bekannt geworden sein können, oder durch manuelle Eingriffe z. B. Konfigurationen in einem Kubernetes Cluster verändert worden sein können. 

Zusammengefasst lässt sich also sagen, dass die Scanner helfen mit möglichst guten Vorraussetzungen Neuerungen in die Produktion zu bringen und die laufende Umgebung kontinuierlich zu verbessern und zu überwachen.

Welchen Scanner nutzen wir?

Wir haben uns für trivy einen Open Source Scanner von Aqua Security entschieden. Die Vorteile liegen für uns ganz klar in zwei Bereichen. Erstens handelt es sich um eine Open Source Lösung die aktuell sehr stark weiterentwickelt wird mit einer aktiven Community. Zweitens deckt dieses Programm alle beschriebenen Einsatzzwecke ab, so dass wir nur ein Tool nutzen und beherrschen müssen. Die Dokumentation ist umfangreich und gut verständlich, was ein weiterer Pluspunkt für uns war.

Wie nutzen wir trivy?

Wir nutzen trivy Hauptsächlich in unseren CI/CD Pipelines und mittels Starboard Operator in unseren Kubernetes Umgebungen. Diese Kombination ermöglicht uns das oben beschriebene Vorgehen sowohl die Sachen zu prüfen die deployed werden sollen und zur Laufzeit zu überwachen, ob neue Schwachstellen in den laufenden Container z. B. ergeben haben. Durch die Nutzung des Starboard Operators können wir Metriken über die verschiedenen Scans direkt in Prometheus nutzen und werden über Veränderungen informiert oder alarmiert.

Beispiele

Schwachstellen Scanner bei Container Images

Wir nutzen trivy als Schwachstellen Scanner beim Bau unserer eigenen Container Images. Dabei prüfen wir nicht nur die Softwarepakete sondern erstellen auch eine Übersichtsdatei über alle Versionen und Lizenzen in einer "Software Bill of Materials" sbom Datei. 

before_script:
  # Feststellung der aktuellen Version von trivy danach wird diese ausgegeben und heruntergeladen
  - export TRIVY_VERSION=$(wget -qO - "https://api.github.com/repos/aquasecurity/trivy/releases/latest" | grep '"tag_name":' | sed -E 's/.*"v([^"]+)".*/\1/')
  - echo $TRIVY_VERSION
  - wget --no-verbose https://github.com/aquasecurity/trivy/releases/download/v${TRIVY_VERSION}/trivy_${TRIVY_VERSION}_Linux-64bit.tar.gz -O - | tar -zxvf -
 
function deploy_with_trivy_check() {
  docker login -u "$USERNAME" -p "$PASSWORD" $REGISTRY
  DOCKER_BUILDKIT=1 docker build --pull --no-cache -t $NAME:$TAG
  docker tag $NAME:$TAG $NAME:latest
  # Gitlab Report erstellen
  ./trivy image --exit-code 0 --format template --template "@contrib/gitlab.tpl" -o gl-container-scanning-report.json $NAME:$TAG
  # HTML Report erstellen
  ./trivy image --exit-code 0 --format template --template "@contrib/html.tpl" -o $TAG-scanning-report.html $NAME:$TAG
  # Ausgabe eines Reports mit Kritikalität Hoch eingestuften Schwachstellen
  ./trivy image --exit-code 0 --severity HIGH --ignore-unfixed $NAME:$TAG
  # Abbruch bei kritischen Schwachstellen mit existierendem Patch
  ./trivy image --exit-code 1 --ignore-unfixed --severity CRITICAL $NAME:$TAG
  # Erstellung der sbom Datei
  ./trivy image --format cyclonedx -o sbom-$NAME.json $NAME:$TAG
  docker push --all-tags $1
}
 

Nutzung per CLI zum Testen

Miskonfigurationscheck am Beispiel eines Dockerfiles

$ trivy config .
2022-08-18T15:23:27.481+0200    INFO    Misconfiguration scanning is enabled
2022-08-18T15:23:27.682+0200    INFO    Detected config files: 1
 
Dockerfile (dockerfile)
 
Tests: 22 (SUCCESSES: 21, FAILURES: 1, EXCEPTIONS: 0)
Failures: 1 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 1, CRITICAL: 0)
 
HIGH: Specify at least 1 USER command in Dockerfile with non-root user as argument
 
Running containers with 'root' user can lead to a container escape situation. It is a best practice to run containers as non-root users, which can be done by adding a 'USER' statement to the Dockerfile.
 
See https://avd.aquasec.com/misconfig/ds002
 

Prüfung eines Images, wobei nur Schwachstellen berücksichtigt werden sollen, für die es einen Fix gibt

Prüfung eines Kubernetes Namespaces

Beispiel für das Finden von Zugangsdaten:

Beispiel für den Scan eines Repositories

Fazit

Mit trivy haben wir ein universelles Programm, welches nicht nur als automatisierter Bestandteil von CI/CD Pipelines und Kubernetesumgebungen einen wichtigen Beitrag zur Sicherheit des betrieben Workloads beiträgt. z. B. auf dem Arbeitsplatz des Admins oder des Entwicklers ist es durch seine einfache Handhabung eine gute Option für den eigenen Werkzeugkasten. Je früher und je häufiger Sicherheitsscanner eingesetzt werden, umso weniger Aufwand bringt es mit sich, sollte es doch zu Funden kommen.

Du hast Fragen oder Feedback?

Dann kontaktiere uns gerne direkt.

Marcus Asshauer
Senior System Engineersynaigy GmbHKontakt

Vertiefe dein Wissen mit uns

Blog 29.02.24
Blog 29.02.24

Mit KI-Suche zu personalisierten Sucherlebnissen

In der heutigen digitalen Welt ist Zeit kostbar und Auswahl überwältigend. Deshalb ist eine intelligente Suchfunktion im E-Commerce entscheidend! In der aktuellen insights!-Folge hatte ich das Vergnügen, Christina Schönfeld von Algolia zu Gast zu haben. Sie erläutert uns, warum die SaaS-Such- und Entdeckungs-Plattform den Unterschied macht und welche Auswirkungen AI Driven Search in der Customer Journey hat.

Blog 11.05.23
Blog 11.05.23

Intershop: KI & Personalisierung für mehr ROI im E-Commerce

Tobias Giese, der Executive VP Customer Success von Intershop und ich sprechen in dieser insights!-Folge über den Einsatz von künstlicher Intelligenz (KI) bei Intershop, den Mehrwert für den Endkunden durch effiziente Personalisierung und daraus resultierende Wettbewerbsvorteile.

Blog 27.04.23
Blog 27.04.23

Datensouveränität vs. Cloud für deine E-Commerce-Strategie

Heute spreche ich mit Marc Achsnich, unserem Teameiter von Managed Services & Software Development, über das durchaus aktuelle und unumgängliche Thema Datensouveränität. Wir besprechen, welche Probleme amerikanische Anbieter mit sich bringen, warum unsere Entscheidung auf die OVH Cloud fiel, und welche Komponenten dabei beachtet werden sollen. Auch die entsprechenden Kosten europäischer Alternativen werden ausführlich besprochen. Du kannst mehr in der neuen Folge erfahren.

Blog 20.04.23
Blog 20.04.23

Warum dein Onlineshop ohne Personalisierung scheitern wird

Im Rahmen unseres zweiten gemeinsamen ,,insights!‘‘-Podcasts stürze ich mich gemeinsam mit UX-Expertin Katja Moritz auf das Thema Informationsverarbeitung im menschlichen Gehirn. Aus diesem Wissen lässt sich für Onlineshop-Betreiber ableiten, welche Fehler beim Aufbau einer Seite vermieden werden können, damit der Kunde sich nicht vorzeitig ausklingt. Eine breite Produktpalette mag durchaus seine Vorzüge haben, überfordert sie den Surfer jedoch, winkt der erfahrungsgemäß schnell ab und verabschiedet sich. Damit der Kunde bis zum Check-out an der Stange bleibe, müssten sich Shop-Betreiber etwas einfallen lassen, sagt die für das Kölner Unternehmen brytes tätige User Experience Managerin.

Blog 13.04.23
Blog 13.04.23

Mit Digital Nudging lenkst du deinen Kunden zum Kauf

brytes-UX Managerin Katja Moritz und mir gehen die Themen rund um E-Commerce nicht aus. Nach den ersten zwei Gesprächsrunden, in denen wir uns mit Nudging und Informationsverarbeitung beschäftigt haben, widmen wir uns heute dem Treffen von Entscheidungen. Welche Strategien führen dazu, dass der Kunde sich für ein Produkt entscheidet und beim Check-out munter mit der Kreditkarte wedelt? So viel sei schon mal verraten: Dem Käufer sollte immer das Gefühl vermittelt werden, dass er bei dem Tausch Bares gegen Ware als Gewinner dasteht.

Blog 12.04.23
Blog 12.04.23

OVHcloud: Schutz vertraulicher Infos für Unternehmen

Die digitale Transformation hat in den letzten Jahren zu einem rasanten Anstieg der Datenmengen geführt, die Unternehmen und Organisationen auf der ganzen Welt verarbeiten und speichern müssen. In diesem Zusammenhang wird die Datensouveränität zu einem immer wichtigeren Thema, insbesondere wenn es darum geht, vertrauliche Informationen sicher und geschützt zu halten. Hier kommt die OVHcloud ins Spiel - ein europäischer Cloud-Service-Anbieter, der sich dem Schutz der Datensouveränität verschrieben hat.

Blog 06.04.23
Blog 06.04.23

Metaverse: B2B und B2C Unternehmen maximieren ihren ROI

Das Metaverse verspricht der Gamechanger für die Zukunft der virtuellen Realität und der digitalen Interaktion zu werden und hat das Potenzial Handel, Arbeitswelt und Freizeit nachhaltig zu verändern. Metaverse-Plattformen können Unternehmen dabei helfen, innovative Geschäftschancen zu schaffen und neue Kundengruppen zu erschließen. In diesem Kontext bieten sie die nächste große Chance für Unternehmen im E-Commerce, um wettbewerbsfähig zu bleiben und dein Geschäft auszubauen. Was es mit Metaverse genau auf sich hat, wie Unternehmen von der Metaverse-Revolution profitieren können und was wir von den Vorreitern lernen können, lernst du in der neuen insights!-Folge mit Christian Gleich.

Blog 30.03.23
Blog 30.03.23

Verbesserung der Customer Experience durch digitale Empathie

Im Gespräch widmen sich Katja Moritz und ich dem Phänomen der digitalen Körpersprache in der Online-Welt. Der technologische Fortschritt hat es inzwischen so weit gebracht, dass der Kunde im wahrsten Sinne des Wortes gläsern ist. Was in der Offline-Welt die Mimik ist, ist im Netz der Mausklick an der entsprechenden Stelle. Wie Shop-Betreiber die Wünsche und Bedürfnisse ihrer Kunden entschlüsseln, darüber gibt die Kölner User Epxerience Managerin heute Auskunft.

Blog 23.03.23
Blog 23.03.23

Managed Services im E-Commerce: Der Weg zu mehr Umsatz?

Recht technisch geht es heute beim Gespräch zwischen mir und dem Teamleiter von Managed Services & Software Development, Marc Achsnich, zu. Die beiden Kenner der E-Commerce-Branche fachsimpeln vor dem Mikrofon darüber, wie sich Onlineshops auf unerwartete Stoßzeiten vorbereiten können, in welchem Umfang die Systeme überwacht werden sollten und wie ein guter Kundensupport auszusehen hat.

Blog 15.07.22
Blog 15.07.22

Was Software-Entscheider von der Formel 1 lernen können

Die Auswahl der richtigen Software gehört zu den anspruchsvollsten Aufgaben im Digitalisierungsgeschäft. Schließlich ist die Tragweite der Entscheidung sowohl strategisch als auch finanziell enorm. Ein iBusiness Expert Talk mit Synaigy-Chef Joubin Rahimi über das richtige Vorgehen.

Blog 28.06.22
Blog 28.06.22

Webinar: „Shopware auf der Überholspur“

Erfahre in einem ersten Überblick mehr über die Komponenten für einen erfolgreichen Onlineshop-Hosting-Betrieb und die wesentlichen Faktoren für ein performantes System.

Blog 04.07.22
Blog 04.07.22

Facebook und der weltweite Ausfall

Facebook hat eine fehlerhafte Konfigurationsänderung für einen fast sechsstündigen Ausfall am Montag verantwortlich gemacht. Die 3,5 Milliarden Nutzer des Unternehmens konnten in dieser Zeit die Dienste Facebook, WhatsApp, Instagram und Messenger nicht erreichen.

Blog 13.06.22
Blog 13.06.22

Shopware 6 mit Kubernetes

In diesem Artikel stellen wir euch vor, wie Shopware 6 in Kubernetes betrieben werden kann und warum dies sinnvoll ist. Wir zeigen euch Codeauszüge und eine kurze Anleitung mit Tipps und Tricks.

Blog 30.05.22
Blog 30.05.22

Brand Experience und Strategie

Als Unternehmen und Marke lässt man ungern Margen bei Händler liegen, das gilt für die analoge und digitale Welt gleichermaßen. Als Marke willst du logischerweise direkt zum Endkunden.

Blog 17.05.22
Blog 17.05.22

Betriebsausflug 2022

Zusammenhalt im Team und abteilungsübergreifendes Netzwerken wird bei uns großgeschrieben! Dafür sind Teamevents besonders wichtig. Es war nun nach zwei Jahren Pandemie endlich soweit und wir konnten alle bei einem mehrtätigen Betriebsausflug zusammenkommen. Da in der Zwischenzeit viele neue Kollegen und Kolleginnen die synaigy bereichern und sich z.T. nur virtuell kennenlernen konnten, war der Betriebsausflug der Anlass zum Networking, zum Teambuilding und zur persönlichen Weiterentwicklung.

Blog 25.04.22
Blog 25.04.22

Was ist die DNA der GAFA-Unternehmen?

Wie sieht es ganz tief im Inneren der GAFAs aus? Welche einzelnen Bausteine führen deren DNA seit Jahren von Erfolg zu Erfolg? Ich habe mir Facebook, Apple und Co. mal genauer angesehen.

Blog 22.04.22
Blog 22.04.22

Individuelle Kundenansprache

Wer sich als Unternehmer von den Tech-Giganten und den Mitbewerbern auf eine positive Weise abheben möchte, muss für eine gute Customer Experience sorgen. Der Weg zum Herz des Kunden führe letztlich über die sogenannte empathische Personalisierung.

Blog 21.04.22
Blog 21.04.22

Geschichten vs. Zahlen und Fakten

Man müsse Elon Musk nicht mögen, aber der Tesla-Gründer ist ein Meister der Selbstdarstellung. Er ist ein begnadeter Geschichtenerzähler, das mag bisweilen übertrieben sein, wie er das macht, aber schlussendlich transportiert er seine Geschichte auf eine grandiose Art. Im Marketing könne dieses Visionary Storytelling entscheidend für den Erfolg eines Unternehmens sein. Schön und gut, wenn Menschen mit einer neuen Idee kommen, wenn sie diese aber mit einer Geschichte untermalen können, umso besser.

Blog 19.04.22
Blog 19.04.22

Vertikalisierung von Unternehmen

Nicht wenige Unternehmen, die mit Erfolg ein Produkt im Markt eingeführt haben, geben sich damit bereits zufrieden. Dabei wäre über die Vertikalisierung des Geschäftsmodells vielleicht noch mehr drin. Dabei nutzt du bereits bestehende Kundenbeziehungen, um eine neue Wertschöpfung für deine Kunden und für dich zu generieren. Diese Diversifizierung macht ein Unternehmen stabiler und gleichzeitig wertvoller.

Blog 16.03.23
Blog 16.03.23

Wie die MACH-Architektur und API-First helfen können

Heute habe ich Sven Baumgart, Gründer und CEO von Tremaze, zu Gast. Gemeinsam mit Sven tauchen wir in die Welt der App-Entwicklung ein. Tremaze hat zwei Anwendungen, Tremaze und Tagea, entwickelt. In der neuen insights!-Folge verrät Sven, wie sie bei der App-Entwicklung mit nur vier Vollzeitentwicklern vorgehen und wie die MACH-Architektur und der API-First Ansatz helfen können, kostengünstig Apps zu aufzubauen. Außerdem geht Sven auf ihre Herausforderungen und Best Practises ein.

Jetzt Blog abonnieren und keine News mehr verpassen

✔️kostenlos ✔️jede Woche News ✔️Expertenwissen