ClusterImageScanner

Découvrez les vulnérabilités et les mauvaises configurations des images de conteneurs dans les environnements de production.

Introduction

Le ClusterImageScanner détecte les images dans un cluster Kubernetes et fournit un retour rapide basé sur divers tests de sécurité. Il est recommandé d'exécuter le ClusterImageScanner dans les environnements de production afin d'obtenir un retour à jour sur les problèmes de sécurité là où ils ont un réel impact.

Comme le ClusterImageScanner est lui-même un service fonctionnant dans votre cluster Kubernetes, vous pouvez réutiliser vos procédures de déploiement existantes.

Overview

La figure suivante fournit un aperçu : Les étapes suivantes sont réalisées.

1. Le Image Collector, comme son nom l'indique, collecte les différentes images d'un environnement de conteneurs comme un cluster Kubernetes. Le Collector crée un fichier JSON incluant des informations comme le cluster, l'équipe responsable et l'image.
2. L'Orchestrator (implémenté via ArgoWorkflows) lance périodiquement le workflow (par exemple, toutes les nuits)
3. Les images du Collector peuvent être tirées par l'Image Fetcher
4. Ces fichiers sont conservés dans un répertoire séparé et de là, ils sont transmis au scanner
5. Plusieurs scanners sont utilisés, par exemple Dependency Track, Lifetime, Malware et autres.
6. Le système de gestion des vulnérabilités (dans notre cas OWASP DefectDojo) collecte ensuite les résultats
7. Les constatations sans réponse sont mises à la disposition des développeurs via un canal de communication (Slack/Email).

Table des matières de la documentation

• Documentation utilisateur
• Architecture et Décisions
• Documentation opérateur

Vidéo (Anglais) : SDA SE CluserImageScanner devient Open Source, 2021-03

Images

Les images à utiliser par ArgoWorkflows sont publiées sur quay.io (2021-06-28) :

• cluster-image-scanner-scan-runasroot
• cluster-image-scanner-scan-distroless
• cluster-image-scanner-scan-lifetime
• cluster-image-scanner-scan-malware
• cluster-image-scanner-scan-new-version
• cluster-image-scanner-imagefetcher
• cluster-image-scanner-notifier
• cluster-image-scanner-imagecollector
• cluster-image-scanner-image-source-fetcher
• cluster-image-scanner-workflow-runner
• quay.io/sdase/image-metadata-collector
• quay.io/sdase/defectdojo-client

cluster-image-scanner-base est la base de toutes les images cluster-image-scanner-*.

Les images sont construites avec buildah. Les paramètres d'environnement avec lesquels l'image peut être démarrée sont documentés via --config dans les scripts build.sh dans le dossier images.

Contributing

Nous attendons vos contributions avec impatience. Consultez nos Directives de contribution avant de soumettre des Pull Requests.

Divulgation responsable et Sécurité

Le fichier SECURITY.md comprend des informations sur la divulgation responsable et les sujets liés à la sécurité comme les correctifs de sécurité.

Deployment

Test

cd test_actions
export IS_MINIKUBE=true # if minikube is used
./setup.bash

Production

Les fichiers helm sont dans deployment/helm.

Avis légal

Le but du ClusterImageScanner n'est pas de remplacer les testeurs de pénétration ou de les rendre obsolètes. Nous recommandons vivement d'effectuer des tests approfondis par des testeurs de pénétration expérimentés sur toutes vos applications. Le ClusterImageScanner doit être utilisé uniquement à des fins de test de vos applications/conteneurs en cours d'exécution. Vous avez besoin d'un accord écrit de l'organisation de l' environnement scanné pour scanner des composants avec le ClusterScanner.

Informations sur l'auteur

Ce projet est développé par Signal Iduna et SDA SE.