Boîte à outils de sécurité Kubernetes-native. (Documentation)

Introduction

L'opérateur Trivy s'appuie sur Trivy pour analyser en continu votre cluster Kubernetes à la recherche de problèmes de sécurité. Les analyses sont résumées dans des rapports de sécurité sous forme de définitions de ressources personnalisées Kubernetes, qui deviennent accessibles via l'API Kubernetes. Pour ce faire, l'opérateur surveille Kubernetes à la recherche de changements d'état et déclenche automatiquement des analyses de sécurité en réponse. Par exemple, une analyse de vulnérabilités est lancée lorsqu'un nouveau Pod est créé. Ainsi, les utilisateurs peuvent trouver et consulter les risques liés aux différentes ressources d'une manière Kubernetes-native.

Analyses de sécurité dans le cluster

L'opérateur Trivy génère et met automatiquement à jour les rapports de sécurité. Ces rapports sont générés en réponse aux nouvelles charges de travail et à d'autres changements sur un cluster Kubernetes, produisant les rapports suivants:

• Analyses de vulnérabilités: analyse automatisée des vulnérabilités des charges de travail Kubernetes, des composants du plan de contrôle et des nœuds (api-server, controller-manager, kubelet, etc.)
• Analyses ConfigAudit: audits de configuration automatisés des ressources Kubernetes avec des règles prédéfinies ou des politiques personnalisées Open Policy Agent (OPA).
• Analyses de secrets exposés: analyses automatisées des secrets qui détectent et détaillent l'emplacement des secrets exposés dans votre cluster.
• Analyses RBAC: les analyses de contrôle d'accès basé sur les rôles (Role Based Access Control) fournissent des informations détaillées sur les droits d'accès des différentes ressources installées.
• Analyse d'évaluation de l'infrastructure des composants principaux de K8s: paramètres et configuration des composants d'infrastructure principaux de Kubernetes (etcd, apiserver, scheduler, controller-manager, etc.).
• Validation des API obsolètes de k8s - une vérification configaudit valide si l'API de la ressource a été dépréciée et est prévue pour suppression.
• Rapports de conformité
  • Le rapport technique de cybersécurité NSA, CISA Kubernetes Hardening Guidance v1.1 est produit.
  • Le rapport technique de cybersécurité CIS Kubernetes Benchmark v1.23 est produit.
  • Kubernetes pss-baseline, normes de sécurité des Pods
  • Kubernetes pss-restricted, normes de sécurité des Pods
• SBOM (génération de Software Bill of Materials) pour les charges de travail Kubernetes.

Si vous souhaitez que nous continuions à développer et à améliorer trivy-operator, merci de mettre une étoile ⭐ au dépôt ! 😀

Utilisation

La Documentation officielle fournit des guides détaillés d'installation, de configuration, de dépannage et de démarrage rapide.

Vous pouvez installer l'opérateur Trivy-operator avec les Manifestes YAML statiques et suivre le guide Démarrage rapide pour voir comment les rapports d'analyse de vulnérabilités et d'audit de configuration sont générés automatiquement.

Démarrage rapide

L'opérateur Trivy peut être installé facilement via le chart Helm. Le chart Helm peut être téléchargé selon l'une des deux options suivantes:

Option 1: Installer à partir du dépôt de charts Helm traditionnel

Ajoutez le dépôt de charts Aqua:

   helm repo add aqua https://aquasecurity.github.io/helm-charts/
   helm repo update

Installez le chart Helm:

   helm install trivy-operator aqua/trivy-operator \
     --namespace trivy-system \
     --create-namespace \
     --version 0.35.0

Option 2: Installer à partir du registre OCI (pris en charge par Helm v3.8.0+)

Installez le chart Helm:

   helm install trivy-operator oci://ghcr.io/aquasecurity/helm-charts/trivy-operator \
     --namespace trivy-system \
     --create-namespace \
     --version 0.35.0

Cela installera le chart Helm Trivy dans le namespace trivy-system et commencera à déclencher les analyses.

Statut

Bien que nous essayions de maintenir la rétrocompatibilité des nouvelles versions avec les versions précédentes, ce projet est encore en incubation, et certaines API et définitions de ressources personnalisées peuvent changer.

Contribuer

À ce stade précoce, nous serions ravis d'avoir vos retours sur le concept général de Trivy-Operator. Au fil du temps, nous aimerions voir des contributions intégrant différents outils de sécurité afin que les utilisateurs puissent accéder aux informations de sécurité de manière standard et Kubernetes-native.

• Consultez Contribuer pour plus d'informations sur la configuration de votre environnement de développement et le workflow de contribution que nous attendons.
• Veuillez vous assurer de suivre notre Code de conduite lors de toute interaction avec les projets Aqua et leur communauté.

Trivy-Operator est un projet open source d'Aqua Security.
Découvrez notre travail open source et portfolio.
Rejoignez la communauté et parlez-nous de tout sujet dans les Discussions GitHub ou sur Slack.