kube-tarian/tarianAgente di sicurezza runtime basato su eBPF per Kubernetes che rileva processi sconosciuti e modifiche ai file, applica vincoli pre-registrati e automatizza l'eliminazione dei pod o l'invio di avvisi per mitigare ransomware e altri attacchi.
Proteggi le tue applicazioni in esecuzione su Kubernetes da attacchi malevoli pre-registrando i tuoi processi fidati e le firme dei file fidati. Tarian rileverà processi sconosciuti e modifiche ai file registrati, quindi invierà avvisi e intraprenderà un'azione automatizzata. Salva il tuo ambiente K8s dai Ransomware!
Vogliamo mantenere questo progetto come open-source per combattere gli attacchi al nostro ecosistema Kubernetes preferito. Con un contributo continuo, possiamo combattere le minacce insieme come comunità.
Come funziona Tarian?
L'Agente del Cluster Tarian viene eseguito nel cluster Kubernetes rilevando processi sconosciuti e modifiche sconosciute ai file, li segnala al Server Tarian e facoltativamente intraprende un'azione: elimina il pod violato. Utilizza eBPF per rilevare nuovi processi. Per il rilevamento delle modifiche ai file, l'Agente del Cluster Tarian inietta un container sidecar nel pod dell'applicazione principale che verificherà i checksum dei file nel percorso configurato e li confronterà con i checksum registrati nel Server Tarian. Tarian farà parte del pod della tua applicazione dall'ambiente di sviluppo a quello di produzione, quindi puoi registrare nel tuo DB Tarian cosa dovrebbe accadere ed essere eseguito nel tuo container + le firme dei file da monitorare + cosa può essere notificato + l'azione da intraprendere (autodistruzione del pod) in base alle modifiche rilevate. Sposta a sinistra il tuo meccanismo di rilevamento!
Cosa succede se si verifica una modifica sconosciuta all'interno del container che non è presente nel DB di registrazione di Tarian? Come reagisce Tarian?
Se si verifica una modifica sconosciuta, Tarian può semplicemente notificare le analisi osservate al tuo Team di Sicurezza. Poi i tuoi Ingegneri della Sicurezza possono registrare quella modifica nel DB di Tarian, se è considerata una minaccia o meno. Inoltre, in base alla loro analisi, possono configurare quale azione intraprendere quando quella modifica si ripresenta.
In che modo il contributo della comunità aiuta a combattere le minacce tramite Tarian?
Qualsiasi nuovo rilevamento analizzato e contrassegnato come minaccia dai tuoi Esperti di Sicurezza, se lo desiderano, può essere condiviso con il DB della comunità open-source di Tarian con tutti i log, le stringhe da cercare, le osservazioni, la trasparenza, le azioni da configurare... Praticamente tutto ciò che gli Esperti vogliono segnalare e condividere con la comunità. Puoi utilizzare queste informazioni come utente di Tarian e configurare le azioni nell'app Tarian utilizzata nel tuo ambiente. Questo è fondamentalmente un meccanismo per condividere informazioni sulle minacce e su cosa fare con esse. Questo aiuta tutti coloro che utilizzano Tarian a intraprendere azioni insieme nei rispettivi ambienti K8s condividendo le loro conoscenze ed esperienze.
Quale tipo di azione/i intraprenderebbe Tarian in base a minacce note?
Tarian semplicemente autodistruggerebbe il pod su cui è in esecuzione. Se il malware/virus si diffonde al resto dell'ambiente, beh, sai cosa succede. Quindi, Tarian è fondamentalmente progettato per aiutare a ridurre il rischio il più possibile distruggendo i pod. Il provisioning di un nuovo pod sarà gestito dal deployment K8s. Tarian distruggerà i pod solo se glielo dici. Se non vuoi che accada alcuna azione, non devi configurarne o attivarne alcuna; puoi semplicemente dire a Tarian di notificarti. Tarian fa essenzialmente ciò che vuoi che sia fatto per ridurre il rischio.
Perché un altro nuovo strumento di sicurezza quando ci sono già molti strumenti disponibili, come Falco, Kube-Hunter, Kube-Bench, Calico Enterprise Security e molti altri strumenti di sicurezza (open-source e commerciali) in grado di rilevare e prevenire minacce a livello di rete, infrastruttura e applicazione? Perché Tarian?
Il motivo principale per cui Tarian è nato è per combattere le minacce in Kubernetes insieme come comunità. Un altro motivo è: cosa succede se esiste ancora qualche attacco sofisticato in grado di penetrare ogni livello della tua sicurezza, raggiungere la tua app in runtime (Remote Code Execution) e i tuoi volumi di archiviazione, e capace di diffondersi per danneggiare o bloccare la tua infrastruttura e i tuoi dati?! Cosa vuoi fare di fronte a tali attacchi, specialmente quelli che si trasformano in ransomware? Tarian è progettato per ridurre tali rischi, intraprendendo azioni. Sappiamo che Tarian non è la soluzione definitiva, ma siamo fiduciosi che possa aiutare a ridurre i rischi, specialmente quando la conoscenza viene condivisa continuamente dalla comunità. Da un punto di vista tecnico, Tarian può aiutare a ridurre il rischio distruggendo le risorse infette.
| Ambiente | Funzionante | Note |
|---|---|---|
| Kind v0.14.0 | ✔️ | |
| Minikube v1.26.0 | ✔️ | |
| Linode Kubernetes Engine (LKE) 1.22 | ✔️ | |
| Digital Ocean Kubernetes Engine (DOKS) 1.22 | ✔️ | |
| Google Kubernetes Engine (GKE) 1.22 | ✔️ | |
| Amazon Elastic Kubernetes Engine (EKS) | ➖ | kernel < 5.8 |
| Azure Kubernetes Service (AKS) | ➖ | kernel < 5.8 |
kubectl create namespace tarian-system
Puoi utilizzare qualsiasi opzione di installazione di Dgraph purché sia accessibile dal server tarian.
helm repo add tarian https://kube-tarian.github.io/helm-charts
helm repo update
helm upgrade -i tarian-server tarian/tarian-server --devel -n tarian-system --set server.dgraph.address=DGRAPH_ADDRESS:PORT
helm upgrade -i tarian-cluster-agent tarian/tarian-cluster-agent --devel -n tarian-system