En önemli uygulamalar hangileridir?
Güvenilir ve asgari düzeyde tutulan temel imajlarla başlayın
Yalnızca uygulamanın ihtiyaç duyduğu paketleri, kitaplıkları ve yardımcı programları içeren, düzenli olarak bakımı yapılan temel imajları kullanın. Bu, saldırı yüzeyini azaltır ve yama uygulamayı kolaylaştırır.
Dağıtımdan önce imajları ve bağımlılıkları tarayın
Tarama işlemi, yapıtlar işlem hattında daha ileri aşamalara geçmeden önce bilinen güvenlik açıklarını, açığa çıkmış gizli bilgileri ve bariz yanlış yapılandırmaları tespit etmelidir. Bu, konteyner güvenliğinin tamamını sağlamasa da önlenebilir riskleri erkenden azaltmaya yönelik en pratik denetimlerden biridir.
Kubernetes bildirimleri ile Kod Olarak Altyapıyı (IaC) güvenlik açısından kritik yapıtlar olarak değerlendirin
İş yükü tanımları (ör. Kubernetes, pod'lar ve izinler), Helm grafikleri (paketlenmiş Kubernetes yapılandırmaları), Terraform (altyapı sağlama; diğer bir deyişle bulut kaynakları ve ağ iletişimi) ve diğer dağıtım yapıtları (sistemleri devreye almak için kullanılan tüm yapılandırmalar), çalışma zamanından çok önce ayrıcalık, ağ iletişimi ve dışarıya açık olma sorunlarına yol açabilir.
Kümede en az ayrıcalık ilkesini uygulayın
Kubernetes RBAC; kullanıcılar, hizmet hesapları ve iş yükleri için dikkatle tasarlanmalıdır. Aşırı erişim, kötüye kullanım ve ayrıcalık yükseltme riskini artırır.
Kabul denetimini ve ilke uygulamasını kullanın
Güvenlik kuralları, dağıtım sırasında otomatik olarak uygulandığında daha etkilidir. Kabul denetimleri, riskli kaynakları kümeye alınmadan önce engelleyebilir; ilke motorları ise ekipler ve ortamlar genelinde gereksinimlerin standartlaştırılmasına yardımcı olabilir.
Etki alanını azaltmak için ağları segmentlere ayırın
Ağ ilkeleri, gereksiz doğu-batı yönlü hareketi sınırlarken uygulamaların gerçekte nasıl iletişim kurduğunu da yansıtmalıdır.
Çalışma zamanı davranışını izleyin
Derleme sırasındaki tarama, çalışma zamanında ortaya çıkan her sorunu tespit edemez. Ekiplerin çalışan konteynerlerdeki süreç davranışı, bağlantılar, kaynak tüketimi, ilke sapmaları ve şüpheli etkinlikler konusunda görünürlük sağlaması gerekir. Bu nedenle çalışma zamanı izleme, imaj durumuyla sınırlı kalmamalı; çalışan uygulamaları, orkestratör etkinliğini ve konteynerler arasındaki iletişimi de kapsamalıdır.
İnceleme yapmaya yetecek kadar günlük kaydı tutun
Konteyner ve Kubernetes ortamları birden fazla katmanda günlükler oluşturur ve bu telemetri, tespit ve olay sonrası inceleme açısından önemlidir.
DevSecOps ekipleri bu denetimleri teslimatı yavaşlatmadan nasıl uygulamalıdır?
En etkili yaklaşım, doğru denetimi doğru aşamaya yerleştirmektir.
Derleme aşamasında imaj güvenliğine, bağımlılık taramasına, gizli bilgi tespitine ve yazılım kökeninin doğrulanmasına odaklanın.
Dağıtım aşamasında manifest doğrulamasına, ilke uygulamasına ve kabul denetimine odaklanın.
Çalışma zamanında davranış izlemeye, uyarılara, sapma tespitine ve incelemeye hazırlığa odaklanın.
Her sorunun aynı kontrol noktasında ele alınması gerekmediğinden aşamalı bir yaklaşım önemlidir. Bazı denetimler dağıtımı engellemeli, bazıları ise inceleme, düzeltme veya çalışma zamanı izleme süreçlerini tetiklemelidir. Olgun ekipler, güvenliğin darboğaza dönüşmeden uygulanabilir kalmasını sağlamak için mutlaka düzeltilmesi gereken ihlalleri daha düşük riskli sorunlardan ayırır. Aşamalı bir yaklaşım; ekipler imajlar ve altyapı kodu için kalite eşikleri kullandığında, ardından bunları yaşam döngüsü genelindeki çalışma zamanı denetimleri ve uyumluluk denetimleriyle birleştirdiğinde en iyi sonucu verir.
Günlük operasyonlarda iyi uygulamalar nasıl hayata geçirilir?
İyi yönetilen ortamlarda konteyner güvenliği, sürüm döngüsünün sonunda gerçekleştirilen ayrı bir olay değil, yazılımın geliştirilip kullanıma sunulma biçiminin bir parçasıdır. Geliştiriciler hangi temel imajların onaylı olduğunu bilir, CI işlem hatları denetimleri otomatik olarak çalıştırır, platform ekipleri küme güvenlik sınırlarını açıkça tanımlar ve güvenlik ekipleri yalnızca tek seferlik incelemelere güvenmek yerine eğilimleri, istisnaları ve tekrarlayan zayıflıkları inceler.
Bu operasyonel düzen önemlidir çünkü DevSecOps, denetimler öngörülebilir olduğunda başarılı olur. Güvenlik gereksinimleri son aşamada itiraz olarak gündeme getirilmek yerine araçlara ve iş akışına entegre edildiğinde ekiplerin bu gereksinimleri kabul etme olasılığı çok daha yüksektir.
Ekipler neleri düzenli olarak incelemelidir?
İyi konteyner güvenliği programları yalnızca başlatılmakla kalmaz, sürekli olarak sürdürülür. Ekipler düzenli olarak şunları incelemelidir:
- Hangi imajların onaylı olduğu ve hâlâ kullanıldığı
- Eski güvenlik açıklarının yeni derlemelere taşınıp taşınmadığı
- Güvenlik ilkesi istisnalarının zaman içinde artıp artmadığı
- Hizmet hesaplarının ve rollerin gereğinden fazla ayrıcalıklı olmaya devam edip etmediği
- Ağ ilkelerinin iş yüklerinin gerçekte nasıl iletişim kurduğuyla hâlâ uyumlu olup olmadığı
- Çalışma zamanı uyarılarının yararlı incelemelere yol açıp açmadığı, yoksa yalnızca gereksiz uyarılar mı oluşturduğu
- Günlüğe kaydetmenin olay müdahalesi ve olay sonrası inceleme için yeterli olup olmadığı.
Bu inceleme noktaları, denetimlerin zaman içinde amaçlarından sapmasını önlemeye yardımcı olur. Bunlar olmadan makul güvenlik ilkeleri bile güncelliğini yitirebilir veya tutarsız biçimde uygulanabilir.
Kuruluşların hata yaptığı noktalar
Yaygın hatalardan biri, güvenliği gereğinden fazla sola kaydırmak ve çalışma zamanının artık önemli olmadığını varsaymaktır. Shift-left yaklaşımı değerlidir ancak konteynerler dinamiktir ve çalışma zamanı görünürlüğü, yalnızca dağıtımdan sonra ortaya çıkan şüpheli davranışları, kötüye kullanılan izinleri ve denetim hatalarını tespit etmek açısından önemini korur.
Bir diğer hata, güvenlik ilkesini teslimat sürecine kodlanmış bir unsur olarak değil, harici bir inceleme adımı olarak ele almaktır. Geliştiriciler ihlallerden yalnızca sürecin sonunda haberdar olursa düzeltme süreci yavaşlar ve daha çatışmacı hâle gelir.
Üçüncü bir hata ise konteynerleri, üzerinde çalıştıkları platformun güvenliğini sağlamadan korumaya çalışmaktır. DevSecOps ekipleri imaj kalitesini iyileştirebilir ancak küme düzeyinde erişim kontrolü, kabul ilkeleri, günlüğe kaydetme ve segmentasyon için platform ve güvenlik ekipleriyle yakın iş birliği hâlinde olunması gerekir.
Pratik bir DevSecOps kontrol listesi neleri içermelidir?
Uygulanabilir bir kontrol listesinde genellikle şunlar yer alır:
- Onaylı temel imajlar ve imajların köken bilgileri
- CI sürecinde imaj ve bağımlılık taraması
- Birleştirme veya derleme öncesinde gizli bilgi tespiti
- Güvenlik ayarları açısından manifest ve IaC incelemesi
- En az ayrıcalık ilkesine uygun RBAC ve hizmet hesabı tasarımı
- Dağıtım güvenlik sınırları için kabul denetimi
- İş yükü izolasyonu için ağ ilkeleri
- Konteyner ve küme etkinliklerinin çalışma zamanında izlenmesi
- Merkezi günlüğe kaydetme ve incelemeye hazırlık
- İlkelerin, istisnaların ve güncelliğini yitirmiş kuralların düzenli olarak incelenmesi.
Önemli çıkarım
DevSecOps ekipleri için konteyner güvenliğinde en iyi uygulama bir teslimat modelidir: girdileri güvence altına almak, dağıtım güvenlik sınırlarını uygulamak, çalışma zamanı davranışını izlemek ve geri bildirim döngüsünü mühendislik ekiplerinin sorunları üretim riski hâline gelmeden çözebileceği kadar hızlı işletmek.
DevSecOps işlem hattınıza konteyner güvenliğini ekleyin
Etkili DevSecOps, yazılım geliştirme sürecinin içinde işleyen güvenlik kontrollerine bağlıdır. Kaspersky Container Security, ekiplerin konteyner görüntülerini kontrol etmesine, çalışan konteynerlerdeki güvenlik açıklarını tespit etmesine, kaynak tüketimini ve iletişimleri izlemesine ve güvenlik ile uyumluluk kontrollerini otomatikleştirmesine yardımcı olur.
Kaynaklar ve ek okumalar:
