mesh-kridik

Kubernetes 서비스 메시 보안을 강화하세요!!

mesh-kridik는 Istio 서비스 메시가 있는 Kubernetes 클러스터에서 다양한 보안 검사를 수행하고 보안 보고서를 출력하는 오픈 소스 보안 검사기입니다.

보안 검사 테스트는 istio 보안 모범 사례의 완전한 구현입니다.

보안 검사는 Istio 서비스 메시가 있는 Kubernetes 클러스터에서 수행되며 OPA(Open Policy Agent)를 활용하여 보안 규칙을 적용합니다. 출력 감사 보고서에는 보안 문제의 근본 원인과 보안 문제에 대한 제안된 수정 사항이 포함됩니다.

• 요구사항
• 설치
• 빠른 시작
• Istio 보안 검사
• 사용자 플러그인 사용법
• 지원되는 사양
• 기여

요구사항

• Go 1.16+
• jq
• istio

설치

git clone https://github.com/chen-keinan/mesh-kridik
cd mesh-kridik
make build

• 참고: mesh-kridik 실행에는 루트 사용자가 필요합니다.

빠른 시작

플래그 없이 Mesh-Kridik 실행, 모든 테스트 실행

 ./mesh-kridik 

플래그를 사용하여 mesh-kridik 실행, 필요에 따라 테스트 실행

Usage: mesh-kridik [--version] [--help] <command> [<args>]

Available commands are:
  -r , --report : run security checks and generate remediation report
  -i , --include: execute only specific security check, example -i=1.1
  -e , --exclude: ignore specific security check,  example -e=1.1,2.0

테스트를 실행하고 실패 테스트 보고서와 그 수정 사항을 생성합니다.

./mesh-kridik -r

Istio 보안 검사

사용자 플러그인 사용법 (Go 플러그인을 통해)

Kube-kridik은 사용자 플러그인을 위한 후크를 제공합니다 예제:

• MeshSecurityCheckResultHook - 이 후크는 k8s 서비스 메시 보안 검사 결과를 수용합니다.

사용자 플러그인 컴파일

go build -buildmode=plugin -o=~/<plugin folder>/<plugin>.so ~/<plugin folder>/<plugin>.go

플러그인을 폴더에 복사 (.kube-kridik 폴더는 첫 번째 시작 시 생성됨)

cp ~/<plugin folder>/<plugin>.so ~/.kube-kridik/plugins/compile/<plugin>.so

지원되는 사양

Kube-kridik은 다음 사양을 지원하며 쉽게 확장할 수 있습니다:

• 전체 Istio 서비스 메시 모범 사례 Istio 보안 모범 사례

이 사양은 ~/.mesh-kridik/security/mesh/istio 폴더 아래의 사양 파일을 수정하여 쉽게 확장할 수 있습니다.

기여

• 코드 기여는 환영입니다!! 테스트와 린터 통과를 포함한 기여는 더욱 환영합니다 :)
• /.dev 폴더에는 개발에 사용할 vagrantfile이 포함되어 있습니다: 개발 지침