مجموعة أدوات أمنية أصلية لـ Kubernetes. (التوثيق)

مقدمة

يستفيد Trivy Operator من Trivy لفحص مجموعة Kubernetes الخاصة بك باستمرار بحثًا عن المشكلات الأمنية. يتم تلخيص عمليات الفحص في تقارير أمنية كـ Kubernetes Custom Resource Definitions، والتي تصبح متاحة من خلال Kubernetes API. يقوم المشغّل بذلك من خلال مراقبة Kubernetes لتغيرات الحالة وتشغيل عمليات الفحص الأمني تلقائيًا استجابةً لذلك. على سبيل المثال، يتم بدء فحص الثغرات الأمنية عند إنشاء Pod جديد. بهذه الطريقة، يمكن للمستخدمين العثور على المخاطر المتعلقة بالموارد المختلفة وعرضها بطريقة Kubernetes-native.

عمليات الفحص الأمني داخل العنقود

يقوم Trivy Operator تلقائيًا بإنشاء تقارير الأمن وتحديثها. يتم إنشاء هذه التقارير استجابةً لأحمال العمل الجديدة والتغييرات الأخرى على مجموعة Kubernetes، مما يؤدي إلى إنشاء التقارير التالية:

• فحوصات الثغرات الأمنية: فحص تلقائي للثغرات الأمنية لأحمال عمل Kubernetes ومكونات control-plane والعقد (api-server، controller-manager، kubelet وما إلى ذلك)
• فحوصات ConfigAudit: عمليات تدقيق التكوين التلقائية لموارد Kubernetes بقواعد محددة مسبقًا أو سياسات Open Policy Agent (OPA) المخصصة.
• فحوصات الأسرار المكشوفة: عمليات فحص تلقائية للأسرار تكشف وتفصّل موقع الأسرار المكشوفة داخل مجموعتك.
• فحوصات RBAC: توفر فحوصات التحكم في الوصول المستند إلى الأدوار معلومات مفصلة حول حقوق الوصول للموارد المختلفة المثبتة.
• فحص البنية التحتية للمكونات الأساسية لـ K8s: إعداد وتكوين المكونات الأساسية للبنية التحتية لـ Kubernetes (etcd، apiserver، scheduler، controller-manager وما إلى ذلك).
• التحقق من صحة واجهات API القديمة في k8s - سيتحقق فحص configaudit مما إذا كانت واجهة API للمورد قد تم إهمالها ومخططًا لإزالتها
• تقارير الامتثال
  • يتم إنتاج التقرير التقني للأمن السيبراني NSA، CISA Kubernetes Hardening Guidance v1.1.
  • يتم إنتاج التقرير التقني للأمن السيبراني CIS Kubernetes Benchmark v1.23.
  • Kubernetes pss-baseline، معايير أمان Pod
  • Kubernetes pss-restricted، معايير أمان Pod
• SBOM (إنشاء قائمة مكونات البرمجيات) لأحمال عمل Kubernetes.

يرجى إضافة نجمة ⭐ إلى المستودع إذا كنت تريد منا مواصلة تطوير وتحسين trivy-operator! 😀

الاستخدام

يوفر [التوثيق] الرسمي أدلة مفصلة للتثبيت والتكوين واستكشاف الأخطاء وإصلاحها والبدء السريع.

يمكنك تثبيت Trivy-operator Operator باستخدام Static YAML Manifests واتباع دليل Getting Started لمعرفة كيف يتم إنشاء تقارير الثغرات الأمنية وتدقيق التكوين تلقائيًا.

البدء السريع

يمكن تثبيت Trivy Operator بسهولة من خلال Helm Chart. يمكن تنزيل Helm Chart بإحدى الطريقتين:

الخيار 1: التثبيت من مستودع helm التقليدي

أضف مستودع Aqua:

   helm repo add aqua https://aquasecurity.github.io/helm-charts/
   helm repo update

ثبّت Helm Chart:

   helm install trivy-operator aqua/trivy-operator \
     --namespace trivy-system \
     --create-namespace \
     --version 0.37.0

الخيار 2: التثبيت من سجل OCI (مدعوم في Helm v3.8.0+)

ثبّت Helm Chart:

   helm install trivy-operator oci://ghcr.io/aquasecurity/helm-charts/trivy-operator \
     --namespace trivy-system \
     --create-namespace \
     --version 0.37.0

سيؤدي هذا إلى تثبيت Trivy Helm Chart في مساحة الأسماء trivy-system وبدء تشغيل عمليات الفحص.

الحالة

على الرغم من أننا نحاول الحفاظ على توافق الإصدارات الجديدة مع الإصدارات السابقة، إلا أن هذا المشروع لا يزال في مرحلة الحضانة، وقد تتغير بعض واجهات API وCustom Resource Definitions.

المساهمة

في هذه المرحلة المبكرة، نود الحصول على ملاحظاتكم حول المفهوم العام لـ Trivy-Operator. مع مرور الوقت، نود أن نرى مساهمات تدمج أدوات أمنية مختلفة حتى يتمكن المستخدمون من الوصول إلى المعلومات الأمنية بطرق قياسية وأصلية لـ Kubernetes.

• راجع Contributing للحصول على معلومات حول إعداد بيئة التطوير الخاصة بك، وسير عمل المساهمة الذي نتوقعه.
• يرجى التأكد من اتباعك لـ مدونة قواعد السلوك أثناء أي تفاعل مع مشاريع Aqua ومجتمعها.

---

Trivy-Operator هو مشروع مفتوح المصدر من Aqua Security.
تعرّف على [أعمالنا ومحفظتنا مفتوحة المصدر].
انضم إلى المجتمع، وتحدث معنا حول أي أمر في GitHub Discussions أو Slack.