ThreatMapper - Gestion des menaces à l'exécution et énumération des chemins d'attaque pour le Cloud Native

[!NOTE] Ce projet est maintenu par https://threatmapper.org

Deepfence ThreatMapper recherche les menaces dans vos plateformes de production et les classe en fonction de leur risque d'exploitation. Il découvre les composants logiciels vulnérables, les secrets exposés et les écarts par rapport aux bonnes pratiques de sécurité. ThreatMapper utilise une combinaison d'inspection basée sur un agent et de surveillance sans agent pour offrir la couverture la plus large possible afin de détecter les menaces.

Avec la visualisation ThreatGraph de ThreatMapper, vous pouvez ensuite identifier les problèmes qui présentent le plus grand risque pour la sécurité de vos applications et les prioriser pour une protection ou une correction planifiée.

• En savoir plus sur ThreatMapper dans la documentation du produit.

• Voir ThreatMapper en action dans le sandbox de démonstration en direct.

Quand utiliser ThreatMapper

ThreatMapper poursuit les bonnes pratiques de sécurité « shift left » que vous employez déjà dans vos pipelines de développement. Il continue de surveiller les applications en cours d'exécution face aux vulnérabilités logicielles émergentes, et surveille la configuration de l'hôte et du cloud par rapport aux benchmarks d'experts du secteur.

Utilisez ThreatMapper pour offrir une observabilité de sécurité pour vos charges de travail et infrastructures de production, sur le cloud, Kubernetes, serverless (Fargate) et les plateformes sur site.

Planification de votre déploiement

ThreatMapper se compose de deux composants :

• La console de gestion ThreatMapper est une application conteneurisée qui peut être déployée sur un seul hôte Docker ou dans un cluster Kubernetes.
• ThreatMapper surveille l'infrastructure en cours d'exécution à l'aide de tâches Cloud Scanner sans agent et d'agents capteurs basés sur un agent.

La console de gestion

Vous déployez d'abord la console de gestion sur un hôte Docker ou un cluster Kubernetes approprié. Par exemple, sur Docker :

# Processus d'installation Docker pour la console de gestion ThreatMapper

wget https://github.com/deepfence/ThreatMapper/raw/release-2.5/deployment-scripts/docker-compose.yml
docker-compose -f docker-compose.yml up --detach

Une fois la console de gestion opérationnelle, vous pouvez enregistrer un compte administrateur et obtenir une clé API.

Tâches Cloud Scanner

Les tâches Cloud Scanner de ThreatMapper sont chargées d'interroger les API des fournisseurs cloud pour recueillir la configuration et identifier les écarts par rapport aux benchmarks de conformité.

La tâche est déployée à l'aide d'un module Terraform. La console de gestion ThreatMapper présentera une configuration de base qui peut être déployée avec Terraform, ou vous pouvez vous référer aux configurations expertes pour affiner le déploiement (AWS, Azure, GCP).

Agents capteurs

Installez les agents capteurs sur vos plateformes de production ou de développement. Les capteurs se rapportent à la console de gestion ; ils lui indiquent les services qu'ils découvrent, fournissent de la télémétrie et génèrent des manifestes de dépendances logicielles.

Les plateformes de production suivantes sont prises en charge par les agents capteurs ThreatMapper :

• Kubernetes : Les capteurs ThreatMapper sont déployés en tant que daemonset dans le cluster Kubernetes, à l'aide d'un chart Helm.
• Docker : Les capteurs ThreatMapper sont déployés en tant que conteneur léger.
• Amazon ECS : Les capteurs ThreatMapper sont déployés en tant que service démon à l'aide d'une définition de tâche.
• AWS Fargate : Les capteurs ThreatMapper sont déployés en tant que conteneur sidecar, à l'aide d'une définition de tâche.
• Bare-Metal ou machines virtuelles : Les capteurs ThreatMapper sont déployés dans un runtime Docker léger.

Par exemple, exécutez la commande suivante pour démarrer le capteur ThreatMapper sur un hôte Docker :

docker run -dit \
    --cpus=".2" \
    --name=deepfence-agent \
    --restart on-failure \
    --pid=host \
    --net=host \
    --log-driver json-file \
    --log-opt max-size=50m \
    --privileged=true \
    -v /sys/kernel/debug:/sys/kernel/debug:rw \
    -v /var/log/fenced \
    -v /var/run/docker.sock:/var/run/docker.sock \
    -v /:/fenced/mnt/host/:ro \
    -e CUSTOM_TAGS="" \
    -e MGMT_CONSOLE_URL="---CONSOLE-IP---" \
    -e MGMT_CONSOLE_PORT="443" \
    -e DEEPFENCE_KEY="---DEEPFENCE-API-KEY---" \
    -e http_proxy="" \
    -e https_proxy="" \
    -e no_proxy="" \
    quay.io/deepfenceio/deepfence_agent_ce:2.5.8

Remarque : L'image tag quay.io/deepfenceio/deepfence_agent_ce:2.5.8-multiarch est prise en charge sur les architectures amd64 et arm64/v8.

Sur une plateforme Kubernetes, les capteurs sont installés à l'aide du chart Helm.

Prochaines étapes

Consultez la documentation Deepfence ThreatMapper pour apprendre comment démarrer et comment utiliser ThreatMapper.

Restez en contact

Merci d'utiliser ThreatMapper. N'hésitez pas à participer à la communauté ThreatMapper.

• Site web de la communauté ThreatMapper
• Vous avez une question, besoin d'aide ? Retrouvez l'équipe Deepfence sur Slack
• Vous avez une demande de fonctionnalité ou vous avez trouvé un bug ? Créez un ticket
• Lisez la documentation dans la documentation Deepfence ThreatMapper
• productsecurity at deepfence dot io : Vous avez trouvé un problème de sécurité ? Partagez-le en toute confidentialité

Obtenez ThreatStryker pour l'entreprise

ThreatStryker est la version entreprise de ThreatMapper, avec des fonctionnalités supplémentaires pour les équipes de sécurité en entreprise. ThreatStryker est disponible en tant que service cloud ou pour un déploiement sur site.

Sécurité et support

Pour tout problème lié à la sécurité dans le projet ThreatMapper, contactez productsecurity at deepfence dot io.

Veuillez créer des tickets GitHub si nécessaire et rejoindre le canal Slack de la communauté Deepfence.

Licence

Le projet Deepfence ThreatMapper (ce dépôt) est proposé sous la licence Apache2.

Les contributions au projet Deepfence ThreatMapper sont acceptées de la même manière sous la licence Apache2, conformément à la politique inbound=outbound de GitHub.