ClusterImageScanner

Scopri vulnerabilità e misconfigurazioni delle immagini dei container negli ambienti di produzione.

Introduzione

ClusterImageScanner rileva le immagini in un cluster Kubernetes e fornisce feedback rapidi basati su vari test di sicurezza. Si consiglia di eseguire ClusterImageScanner negli ambienti di produzione per ottenere feedback aggiornati sui problemi di sicurezza dove hanno un reale impatto.

Poiché ClusterImageScanner stesso è un servizio in esecuzione all'interno del tuo cluster Kubernetes, puoi riutilizzare le tue procedure di distribuzione esistenti.

Panoramica

La figura seguente fornisce una panoramica: Vengono eseguiti i seguenti passaggi.

1. L'Image Collector, come suggerisce il nome, raccoglie le diverse immagini da un ambiente container come un cluster Kubernetes. Il Collector crea un file JSON includendo informazioni come il cluster, il team responsabile e l'immagine.
2. L'Orchestrator (implementato tramite ArgoWorkflows) avvia il flusso di lavoro periodicamente (ad esempio, ogni notte).
3. Le immagini dal Collector possono essere recuperate dall'Image Fetcher.
4. Questi file vengono conservati in una directory separata e da lì vengono passati allo scanner.
5. Vengono utilizzati più scanner, ad esempio Dependency Track, Lifetime, Malware e altri.
6. Il sistema di gestione delle vulnerabilità (nel nostro caso OWASP DefectDojo) raccoglie quindi i risultati.
7. I risultati non risolti vengono resi disponibili agli sviluppatori tramite un canale di comunicazione (Slack/Email).

Sommario della documentazione

• Documentazione utente
• Architettura e decisioni
• Documentazione per operatori

Video (Inglese): SDA SE CluserImageScanner diventa Open Source, 2021-03

Immagini

Le immagini da utilizzare con ArgoWorkflows sono pubblicate su quay.io (2021-06-28):

• cluster-image-scanner-scan-runasroot
• cluster-image-scanner-scan-distroless
• cluster-image-scanner-scan-lifetime
• cluster-image-scanner-scan-malware
• cluster-image-scanner-scan-new-version
• cluster-image-scanner-imagefetcher
• cluster-image-scanner-notifier
• cluster-image-scanner-imagecollector
• cluster-image-scanner-image-source-fetcher
• cluster-image-scanner-workflow-runner
• quay.io/sdase/image-metadata-collector
• quay.io/sdase/defectdojo-client

cluster-image-scanner-base è la base per tutte le immagini cluster-image-scanner-*.

Le immagini sono create con buildah. I parametri d'ambiente con cui l'immagine può essere avviata sono documentati tramite --config negli script build.sh all'interno di images.

Contribuire

Non vediamo l'ora di ricevere contributi. Dai un'occhiata alle nostre Linee guida per contribuire prima di inviare Pull Request.

Divulgazione responsabile e sicurezza

Il file SECURITY.md contiene informazioni sulla divulgazione responsabile e argomenti relativi alla sicurezza come le patch di sicurezza.

Distribuzione

Test

cd test_actions
export IS_MINIKUBE=true # if minikube is used
./setup.bash

Produzione

I file Helm si trovano in deployment/helm.

Avviso legale

Lo scopo di ClusterImageScanner non è sostituire i penetration tester o renderli obsoleti. Raccomandiamo vivamente di eseguire test approfonditi da parte di penetration tester esperti su tutte le tue applicazioni. ClusterImageScanner deve essere utilizzato solo a scopo di test delle tue applicazioni/container in esecuzione. È necessario un accordo scritto dell'organizzazione dell'ambiente sotto scansione per scansionare componenti con ClusterScanner.

Informazioni sull'autore

Questo progetto è sviluppato da Signal Iduna e SDA SE.