01Sorun ve çözüm
Kubernetes güvenlik denetiminde kümenize salt okunur bir erişimle bağlanıp yapılandırmayı katman katman inceliyoruz: kimin küme API'sine hangi yetkiyle eriştiği, podların hangi ayrıcalıklarla çalıştığı, ağ trafiğinin sınırlanıp sınırlanmadığı ve imajların nereden geldiği. Bulguları yalnızca listelemiyor, hangisinin gerçek bir saldırı yoluna dönüştüğünü ayırt ediyoruz. Çıktı, ekibinizin dağıtım biçimini bozmadan uygulayabileceği, önceliğe göre sıralanmış bir sertleştirme planıdır.
02Kimler için
Kubernetes güvenlik denetimi hangi ekiplere gerekir
Denetim, kümeyi kurup üretime almış ama güvenlik ayarlarını henüz gözden geçirmemiş ekipler için uygundur.
- Uygulamalarını konteynerlere taşımış ve kümeyi varsayılan ayarlarla üretime almış geliştirme ekipleri
- Birden çok ekibin aynı kümede ayrı ad alanlarında çalıştığı ve aralarındaki yalıtımı doğrulamak isteyen platform birimleri
- Yönetilen bir Kubernetes hizmeti kullanan ve sağlayıcının sorumluluğu ile kendi sorumluluğunun sınırını netleştirmek isteyen şirketler
- Müşteri güvenlik anketinde konteyner altyapısına dair kanıt istenen SaaS sağlayıcıları
- Kümeye yeni bir CI/CD hattı ya da dış erişim ekleyen ve bunun açtığı riski değerlendirmek isteyen ekipler
03İhtiyaçlar
Kümelerde en sık görülen güvenlik boşlukları
Bu boşlukların ortak kaynağı, kolaylık için açık bırakılan ya da hiç dokunulmayan varsayılan ayarlardır.
- 01
Aşırı yetkili erişim rolleri
Küme genelinde geniş haklar veren roller ve gereğinden fazla yetkili servis hesapları, tek bir uygulamanın ele geçmesini küme yönetimine taşıyabilir. Rol tanımları çıkarılıp fazlalıklar işaretlenir.
- 02
Ayrıcalıklı kapsayıcılar
Kök kullanıcıyla ya da yükseltilmiş yetkilerle çalışan podlar, altındaki sunucu düğümüne ulaşma riskini artırır. Pod güvenlik ayarları ve yetki kısıtlamalarının uygulanıp uygulanmadığı incelenir.
- 03
Kısıtsız ağ trafiği
Ağ politikası tanımlanmamış bir kümede her pod her poda ulaşabilir; bir bileşendeki sorun yanal olarak yayılır. Ad alanları ve servisler arası trafiğin sınırlanıp sınırlanmadığı kontrol edilir.
- 04
Güvenilmeyen imaj kaynakları
İmajların denetimsiz kayıt depolarından çekilmesi ve içindeki bileşenlerin taranmaması, bilinen açıkların doğrudan üretime girmesine yol açar. İmaj kaynağı ve tarama durumu değerlendirilir.
04Özellikler
Kubernetes güvenlik denetimi hizmetinin kapsamı
Kapsam, küme sayısına, yönetilen mi kendi kurduğunuz mu olduğuna ve çalışan iş yüklerine göre belirlenir.
- 01
Erişim denetimi incelemesi
Küme API'sine erişen kullanıcılar, servis hesapları ve bunların rolleri çıkarılır; en az yetki ilkesine göre daraltma önerileri sunulur.
- 02
İş yükü sertleştirme
Pod güvenlik standartları, kaynak sınırları, salt okunur dosya sistemi ve gizli bilgilerin podlara nasıl verildiği gözden geçirilir.
- 03
Ağ ve ad alanı yalıtımı
Ad alanları arası ayrım, ağ politikaları ve dışarıya açık servislerin giriş denetleyicisi üzerinden nasıl yayımlandığı değerlendirilir.
- 04
Tedarik zinciri kontrolü
İmajların kaynağı, tarama ve imzalama süreci ile yalnızca onaylı imajların kümeye kabul edilmesini sağlayan kabul denetleyicilerinin varlığı incelenir.
- 05
Sertleştirme yol haritası
Bulgular etki ve uygulama kolaylığına göre sıralanır; her madde için manifest ya da politika üzerinde yapılacak değişiklik tarif edilir.
05Entegrasyonlar
Denetimin dikkate aldığı bileşenler ve araçlar
Küme tek başına değerlendirilmez; onu besleyen ve çevreleyen sistemler de incelemeye girer.
- 01
Yönetilen küme hizmetleri
Amazon EKS, Azure AKS veya Google GKE kullanılıyorsa bulut tarafındaki kimlik ve ağ ayarları, küme yapılandırmasıyla birlikte değerlendirilir.
- 02
Karşılaştırma araçları
kube-bench ve Kubescape gibi açık kaynak araçlar bir başlangıç taraması için kullanılır; çıktılar elle doğrulanıp iş bağlamına göre sınıflandırılır.
- 03
İlke uygulama
Open Policy Agent ya da benzeri bir kabul denetleyicisinin devrede olup olmadığı ve hangi kuralları zorladığı incelenir; eksikse önerilir.
- 04
Kayıt ve izleme
Küme denetim kayıtlarının toplanıp toplanmadığı ve çalışma zamanı olaylarının kullandığınız izleme platformunda görülebilir olup olmadığı kontrol edilir.
06Süreç
Kubernetes güvenlik denetimi hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
Kubernetes denetiminde ölçüt ve erişim
Kontrol listesini CIS Kubernetes Benchmark ve bulut sağlayıcılarının güvenlik rehberleri gibi kamuya açık kaynaklardan derliyoruz. Bir bulgunun hangi saldırı adımına kapı açtığını anlatırken MITRE ATT&CK'in konteyner matrisinden yararlanıyoruz. Her bulgu, kümenizin gerçek kullanımına göre değerlendirilir; bilinçli bir tercih olan bir ayar gereksiz yere uyarıya dönüşmez.
Devamını okuDaha az göster
Kümeye bağlanmak için get, list ve watch fiillerini kapsayan, süresi dolunca geçersiz olan bir kubeconfig yeterlidir; Secret nesnelerinin içeriğini okuma yetkisi de bilinçli olarak dışarıda bırakılabilir. Toplanan manifestler şifreli bir ortamda tutulur ve iş bitince erişim iptal edilir. Sertleştirme adımlarını ekibiniz kendi dağıtım akışıyla hayata geçirebilir ya da danışmanlık kapsamında birlikte ilerleyebiliriz; istenirse bulgular DevSecOps hattınıza geri beslenir.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
Kubernetes güvenlik denetimi hakkında sık sorulan sorular
Yönetilen bir Kubernetes hizmeti kullanıyoruz; güvenliği sağlayıcı sağlamıyor mu?
Sağlayıcı kontrol düzlemini ve altyapıyı korur. Rollerin dağıtımı, podların yetkileri, ağ politikaları ve imaj kaynakları ise sizin sorumluluğunuzdadır. Kubernetes güvenlik denetimi bu paylaşımın sizde kalan yarısını inceler.
Denetim için kümeye yönetici erişimi mi vermeliyiz?
Hayır. Kaynakları listeleyip okuyabilen ama değiştiremeyen, süreli bir rol bağlaması (RoleBinding) yeterlidir; inceleme sırasında hiçbir dağıtım ya da ayar elimizle değişmez.
Kubernetes güvenlik denetimi fiyatları neye göre değişir?
Küme sayısı, düğüm ve çalışan iş yükü sayısı, yönetilen mi kendi kurulumunuz mu olduğu, birden fazla ekibin aynı kümeyi paylaşıp paylaşmadığı ve düzeltmelerin danışmanlıkla yürütülüp yürütülmeyeceği belirleyicidir.
Denetim çalışan uygulamaları etkiler mi?
İnceleme salt okunur olduğu için iş yüklerine müdahale edilmez. Önerilen değişiklikler ise önce test kümenizde ya da aşamalı olarak uygulanacak biçimde planlanır.
Bulgularımızı geliştirme sürecine nasıl taşırız?
Sertleştirme önerileri manifest ve politika dosyaları üzerinden verildiği için kod deposunda sürümlenebilir. İsterseniz imaj taraması ve kabul denetimini CI/CD hattınıza bağlayan bir DevSecOps çalışmasıyla sürekli hâle getiririz.
Konteyner imajlarının içindeki açıkları da buluyor musunuz?
Denetim, imaj tarama sürecinizin var olup olmadığına ve nasıl yapılandırıldığına bakar. Derinlemesine bileşen taraması için kümenizde kullanılan imajlar ayrıca taranabilir; bu kısım yazılım bileşen analizi çalışmasıyla birlikte de yürütülebilir.
10İlgili hizmetler