[!IMPORTANT] KubeClarity는 더 이상 사용되지 않으며 openclarity/openclarity로 대체되었습니다.

자세한 내용은 릴리스 성명서를 확인하세요.

이 프로젝트는 업데이트를 받지 않습니다. 마이그레이션을 권장합니다.

KubeClarity는 컨테이너 이미지 및 파일 시스템의 소프트웨어 자재 명세서(SBOM) 및 취약점 탐지 및 관리를 위한 도구입니다. 향상된 소프트웨어 공급망 보안을 위해 런타임 K8s 클러스터와 CI/CD 파이프라인을 모두 스캔합니다.

목차

• 왜?
  • SBOM 및 취약점 탐지 과제
  • 해결책
• 기능
  • 통합 SBOM 생성기 및 취약점 스캐너
• 아키텍처
• 시작하기
  • KubeClarity 백엔드
    • Helm을 사용하여 설치
    • Helm을 사용하여 제거
    • 로컬에서 데모 데이터로 빌드 및 실행
  • CLI
    • 설치
    • SBOM 생성
    • 취약점 스캔
    • 결과를 KubeClarity 백엔드로 내보내기
• 고급 구성
  • 로컬 Docker 이미지를 입력으로 사용한 SBOM 생성
  • 로컬 Docker 이미지를 입력으로 사용한 취약점 스캔
  • CLI용 프라이빗 레지스트리 지원
  • K8s 런타임 스캔을 위한 프라이빗 레지스트리 지원
  • 다양한 CI/CD 단계 간 SBOM 및 취약점 병합
  • 다른 SBOM 형식 출력
  • CLI용 원격 스캐너 서버
• 제한 사항
• 로드맵
• 기여
• 라이선스

왜?

SBOM 및 취약점 탐지 과제

• 효과적인 취약점 스캔을 위해서는 정확한 소프트웨어 자재 명세서(SBOM) 탐지가 필요합니다:
  • 다양한 프로그래밍 언어 및 패키지 관리자
  • 다양한 OS 배포판
  • 패키지 종속성 정보는 일반적으로 빌드 시 제거됩니다
• 최고의 스캐너/SBOM 분석기는 무엇인가요?
• 무엇을 스캔해야 할까요: Git 리포지토리, 빌드, 컨테이너 이미지 또는 런타임?
• 각 스캐너/분석기는 자체 형식을 가지고 있습니다. 결과를 어떻게 비교할 수 있나요?
• 발견된 SBOM 및 취약점을 어떻게 관리하나요?
• 새로 발견된 취약점이 내 애플리케이션에 어떤 영향을 미치나요?

해결책

• 취약점 스캔을 두 단계로 분리:
  • SBOM 생성을 위한 콘텐츠 분석
  • 취약점에 대한 SBOM 스캔
• 플러그형 인프라 생성:
  • 여러 콘텐츠 분석기를 병렬로 실행
  • 여러 취약점 스캐너를 병렬로 실행
• KubeClarity CLI를 사용하여 다른 CI 단계 간 결과 스캔 및 병합
• 배포 후 발견된 취약점 탐지를 위한 런타임 K8s 스캔
• 스캔된 리소스(이미지/디렉토리)를 정의된 애플리케이션 아래에 그룹화하여 객체 트리 종속성(애플리케이션, 리소스, 패키지, 취약점)을 탐색합니다.

기능

• 대시보드
  • 심각도별 수정 가능한 취약점
  • 상위 5개 취약 요소(애플리케이션, 리소스, 패키지)
  • 신규 취약점 동향
  • 라이선스 유형별 패키지 개수
  • 프로그래밍 언어별 패키지 개수
  • 일반 카운터
• 애플리케이션
  • K8s 런타임에서 자동 애플리케이션 탐지
  • 애플리케이션 생성/편집/삭제
  • 애플리케이션별 관련 항목 탐색:
    • 리소스(이미지/디렉토리)
    • 패키지
    • 취약점
    • 리소스에서 사용 중인 라이선스
• 애플리케이션 리소스(이미지/디렉토리)
  • 리소스별 관련 항목 탐색:
    • 애플리케이션
    • 패키지
    • 취약점
• 패키지
  • 패키지별 관련 항목 탐색:
    • 애플리케이션
    • 리소스 및 탐지 SBOM 분석기의 연결 가능한 목록
    • 취약점
• 취약점
  • 취약점별 관련 항목 탐색:
    • 애플리케이션
    • 리소스
    • 탐지 스캐너 목록
• K8s 런타임 스캔
  • 요청 시 또는 예약된 스캔
  • 대상 네임스페이스 자동 탐지
  • 영향을 받는 요소(애플리케이션, 리소스, 패키지, 취약점)별 스캔 진행 상황 및 결과 탐색
  • CIS Docker 벤치마크
• CLI(CI/CD)
  • 여러 통합 콘텐츠 분석기(Syft, cyclonedx-gomod)를 사용한 SBOM 생성
  • 여러 통합 스캐너(Grype, Dependency-track)를 사용한 SBOM/이미지/디렉토리 취약점 스캔
  • 다양한 CI/CD 단계 간 SBOM 및 취약점 병합
  • 결과를 KubeClarity 백엔드로 내보내기
• API
  • KubeClarity의 API는 여기에서 확인할 수 있습니다.

통합 SBOM 생성기 및 취약점 스캐너

KubeClarity 콘텐츠 분석기는 다음 SBOM 생성기와 통합됩니다:

• Syft
• Cyclonedx-gomod
• Trivy

KubeClarity 취약점 스캐너는 다음 스캐너와 통합됩니다:

• Grype
• Dependency-Track
• Trivy

아키텍처

시작하기

KubeClarity 백엔드

Helm을 사용하여 설치:

1. Helm 리포지토리 추가 ```shell helm repo add kubeclarity https://openclarity.github.io/kubeclarity

2. KubeClarity 기본 차트 값 저장

   helm show values kubeclarity/kubeclarity > values.yaml
   

3. values.yaml의 구성을 확인하고 필요한 경우 필요한 값을 업데이트하세요. 지원되는 SBOM 생성기 및 취약점 스캐너를 활성화하고 구성하려면 Helm 값의 "vulnerability-scanner" 섹션 아래 "analyzer" 및 "scanner" 구성을 확인하십시오.

4. Helm으로 KubeClarity 배포 ```shell helm install --values values.yaml --create-namespace kubeclarity kubeclarity/kubeclarity -n kubeclarity

또는 OpenShift Restricted SCC 호환 설치를 위해: ```shell helm install --values values.yaml --create-namespace kubeclarity kubeclarity/kubeclarity -n kubeclarity --set global.openShiftRestricted=true
--set kubeclarity-postgresql.securityContext.enabled=false --set kubeclarity-postgresql.containerSecurityContext.enabled=false
--set kubeclarity-postgresql.volumePermissions.enabled=true --set kubeclarity-postgresql.volumePermissions.securityContext.runAsUser="auto"
--set kubeclarity-postgresql.shmVolume.chmod.enabled=false

3. KubeClarity UI로 포트 포워드:   ```shell
kubectl port-forward -n kubeclarity svc/kubeclarity-kubeclarity 9999:8080

4. 브라우저에서 KubeClarity UI를 엽니다: http://localhost:9999/

참고
KubeClarity는 다음과 같은 K8s 권한이 필요합니다:

권한	이유
CREDS_SECRET_NAMESPACE(default: kubeclarity)에서 시크릿 읽기	프라이빗 이미지 리포지토리를 스캔하기 위한 이미지 풀 시크릿을 구성할 수 있도록 합니다.
KubeClarity 배포 네임스페이스에서 ConfigMap 읽기	스캐너 작업의 구성된 템플릿을 가져오는 데 필요합니다.
클러스터 범위에서 파드 나열	스캔해야 할 대상 파드를 계산하는 데 필요합니다.
네임스페이스 나열	K8s 런타임 스캔 UI에서 스캔할 대상 네임스페이스를 가져오는 데 필요합니다.
클러스터 범위에서 작업 생성 및 삭제	해당 네임스페이스에서 대상 파드를 스캔할 작업을 관리하는 데 필요합니다.

Helm을 사용한 제거:

1. Helm 제거 ```shell helm uninstall kubeclarity -n kubeclarity

2. 리소스 정리

   기본적으로 Helm은 StatefulSets에 대한 PVC와 PV를 제거하지 않습니다. 다음 명령어를 실행하여 모두 삭제하십시오:

   kubectl delete pvc -l app.kubernetes.io/instance=kubeclarity -n kubeclarity
   

데모 데이터로 로컬에서 빌드 및 실행

1. UI 및 백엔드 빌드 후 로컬에서 백엔드 시작 (2가지 옵션):

   1. Docker 사용:
      1. UI 및 백엔드 빌드 (이미지 태그는 VERSION을 사용하여 설정됩니다):

         VERSION=test make docker-backend
         

      2. 데모 데이터를 사용하여 백엔드 실행:

         docker run -p 8080:8080 -e FAKE_RUNTIME_SCANNER=true -e FAKE_DATA=true -e ENABLE_DB_INFO_LOGS=true -e DATABASE_DRIVER=LOCAL ghcr.io/openclarity/kubeclarity:test run
         

   2. 로컬 빌드:
      1. UI 및 백엔드 빌드

         make ui && make backend
         

      2. 빌드된 사이트 복사:

         cp -r ./ui/build ./site
         

      3. 데모 데이터를 사용하여 로컬에서 백엔드 실행:

         FAKE_RUNTIME_SCANNER=true DATABASE_DRIVER=LOCAL FAKE_DATA=true ENABLE_DB_INFO_LOGS=true ./backend/bin/backend run
         

2. 브라우저에서 KubeClarity UI 열기: http://localhost:8080/

CLI

KubeClarity에는 로컬에서 실행할 수 있는 CLI가 포함되어 있으며, 특히 CI/CD 파이프라인에 유용합니다. 이 CLI를 사용하면 이미지와 디렉터리를 분석하여 SBOM을 생성하고 취약점을 스캔할 수 있습니다. 결과는 KubeClarity 백엔드로 내보낼 수 있습니다.

설치