kube-tarian/tarianeBPF-basierter Runtime-Sicherheitsagent für Kubernetes, der unbekannte Prozesse und Dateiänderungen erkennt, vorab registrierte Einschränkungen durchsetzt und die automatische Pod-Löschung oder Alarmierung auslöst, um Ransomware und andere Angriffe abzuwehren.
Schützen Sie Ihre auf Kubernetes ausgeführten Anwendungen vor bösartigen Angriffen, indem Sie Ihre vertrauenswürdigen Prozesse und Dateisignaturen vorab registrieren. Tarian erkennt unbekannte Prozesse und Änderungen an den registrierten Dateien, sendet dann Warnmeldungen und ergreift automatische Maßnahmen. Retten Sie Ihre K8s-Umgebung vor Ransomware!
Wir möchten dies als Open-Source-Projekt erhalten, um Angriffe auf unser geliebtes Kubernetes-Ökosystem zu bekämpfen. Durch kontinuierliche Beiträge können wir als Gemeinschaft gemeinsam Bedrohungen begegnen.
Wie funktioniert Tarian?
Der Tarian Cluster Agent läuft im Kubernetes-Cluster, erkennt unbekannte Prozesse und unbekannte Dateiänderungen, meldet sie an den Tarian Server und ergreift optional Maßnahmen: Löschen des verletzten Pods. Es verwendet eBPF, um neue Prozesse zu erkennen. Für die Dateiänderungserkennung injiziert der Tarian Cluster Agent einen Sidecar-Container in den Pod Ihrer Hauptanwendung, der Datei-Prüfsummen im konfigurierten Pfad überprüft und mit den registrierten Prüfsummen im Tarian Server vergleicht. Tarian wird von der Entwicklung bis zur Produktion Teil des Pods Ihrer Anwendung sein, sodass Sie in Ihrer Tarian-DB registrieren können, was in Ihrem Container passieren und ausgeführt werden soll, welche Dateisignaturen überwacht werden sollen, worüber benachrichtigt werden soll und welche Aktion (Selbstzerstörung des Pods) bei erkannten Änderungen ergriffen werden soll. Verlagern Sie Ihren Erkennungsmechanismus nach links!
Was passiert, wenn eine unbekannte Änderung im Container auftritt, die nicht in der Tarian-Registrierungsdatenbank vorhanden ist? Wie reagiert Tarian darauf?
Wenn eine unbekannte Änderung auftritt, kann Tarian einfach beobachtete Analysen an Ihr Sicherheitsteam melden. Ihre Sicherheitsingenieure können diese Änderung dann in der Tarian-DB registrieren, unabhängig davon, ob sie als Bedrohung eingestuft wird oder nicht. Basierend auf ihrer Analyse können sie auch konfigurieren, welche Aktion beim erneuten Auftreten dieser Änderung ergriffen werden soll.
Wie hilft der Beitrag der Gemeinschaft, Bedrohungen mit Tarian zu bekämpfen?
Jede neue, von Ihren Sicherheitsexperten analysierte und als Bedrohung eingestufte Erkennung kann – wenn gewünscht – mit allen Logs, zu suchenden Zeichenfolgen, Beobachtungen, Transparenz, zu konfigurierenden Aktionen usw. in der Open-Source-Tarian-Community-Datenbank geteilt werden. Im Grunde alles, wovor die Experten warnen und was sie mit der Gemeinschaft teilen möchten. Sie können diese Informationen als Tarian-Benutzer nutzen und Aktionen in der Tarian-App konfigurieren, die in Ihrer Umgebung verwendet wird. Dies ist im Wesentlichen ein Mechanismus zum Austausch von Informationen über Bedrohungen und deren Handhabung. Dies hilft allen Tarian-Nutzern, gemeinsam in ihren jeweiligen K8s-Umgebungen zu handeln, indem sie ihr Wissen und ihre Erfahrungen teilen.
Welche Art von Aktionen würde Tarian basierend auf bekannten Bedrohungen ergreifen?
Tarian würde einfach den Pod, auf dem es läuft, selbst zerstören. Wenn sich die Malware / der Virus auf den Rest der Umgebung ausbreitet, wissen Sie, was passiert. Tarian ist also grundsätzlich dazu entwickelt, das Risiko durch die Zerstörung von Pods so weit wie möglich zu reduzieren. Die Bereitstellung eines neuen Pods wird vom K8s-Deployment übernommen. Tarian wird Pods nur dann zerstören, wenn Sie Tarian dazu anweisen. Wenn Sie keine Aktionen wünschen, müssen Sie keine konfigurieren oder auslösen; Sie können Tarian einfach anweisen, Sie nur zu benachrichtigen. Tarian macht im Grunde das, was Sie tun möchten, um das Risiko zu reduzieren.
Warum ein weiteres neues Sicherheitstool, wenn es bereits viele Tools gibt, wie Falco, Kube-Hunter, Kube-Bench, Calico Enterprise Security und viele weitere Sicherheitstools (Open-Source & kommerziell), die Bedrohungen auf Netzwerk-, Infrastruktur- und Anwendungsebene erkennen und verhindern können? Warum Tarian?
Der Hauptgrund für die Entstehung von Tarian ist, Bedrohungen in Kubernetes gemeinsam als Gemeinschaft zu bekämpfen. Ein weiterer Grund war: Was ist, wenn es immer noch einen hochentwickelten Angriff gibt, der in der Lage ist, jede Sicherheitsebene zu durchdringen, Ihre Laufzeitanwendung (Remote Code Execution) und Ihre Speicher-Volumes erreicht und sich ausbreiten kann, um Ihre Infrastruktur und Daten zu beschädigen oder zu sperren? Was möchten Sie gegen solche Angriffe tun, insbesondere wenn sie sich in Ransomware verwandeln? Tarian ist entwickelt, um solche Risiken zu reduzieren, indem es Aktionen ergreift. Wir wissen, dass Tarian nicht die ultimative Lösung ist, aber wir sind zuversichtlich, dass es helfen kann, Risiken zu reduzieren, insbesondere wenn Wissen kontinuierlich von der Gemeinschaft geteilt wird. Aus technischer Sicht kann Tarian helfen, das Risiko zu reduzieren, indem es die infizierten Ressourcen zerstört.
| Umgebung | Funktioniert | Anmerkungen |
|---|---|---|
| Kind v0.14.0 | ✔️ | |
| Minikube v1.26.0 | ✔️ | |
| Linode Kubernetes Engine (LKE) 1.22 | ✔️ | |
| Digital Ocean Kubernetes Engine (DOKS) 1.22 | ✔️ | |
| Google Kubernetes Engine (GKE) 1.22 | ✔️ | |
| Amazon Elastic Kubernetes Engine (EKS) | ➖ | kernel < 5.8 |
| Azure Kubernetes Service (AKS) | ➖ | kernel < 5.8 |
kubectl create namespace tarian-system
Sie können jede Dgraph-Installationsoption verwenden, solange sie vom Tarian-Server aus zugänglich ist.
helm repo add tarian https://kube-tarian.github.io/helm-charts
helm repo update