ClusterImageScanner

Descubra vulnerabilidades e configurações incorretas de imagens de contêiner em ambientes de produção.

Introdução

O ClusterImageScanner detecta imagens em um cluster Kubernetes e fornece feedback rápido com base em vários testes de segurança. Recomenda-se executar o ClusterImageScanner em ambientes de produção para obter feedback atualizado sobre problemas de segurança onde eles têm impacto real. Como o próprio ClusterImageScanner é um serviço executado dentro do seu cluster Kubernetes, você pode reutilizar seus procedimentos de implantação existentes.

Visão Geral

A figura a seguir fornece uma visão geral: As seguintes etapas são realizadas.

1. O Image Collector, como o nome sugere, coleta as diferentes imagens de um ambiente de contêiner como um cluster kubernetes. O Coletor cria um arquivo JSON incluindo informações como o cluster, a equipe responsável e a imagem.
2. O Orquestrador (implementado via ArgoWorkflows) inicia o fluxo de trabalho periodicamente (por exemplo, noturno)
3. As imagens do Coletor podem ser obtidas pelo Image Fetcher
4. Esses arquivos são mantidos em um diretório separado e a partir daí são passados para o scanner
5. Vários scanners são usados, por exemplo, Dependency Track, Lifetime, Malware e outros.
6. O sistema de gerenciamento de vulnerabilidades (no nosso caso OWASP DefectDojo) então coleta os resultados
7. As descobertas não respondidas são disponibilizadas aos desenvolvedores por meio de um canal de comunicação (Slack/Email).

Índice da Documentação

• Documentação do usuário
• Arquitetura e Decisões
• Documentação do operador

Vídeo (Inglês): SDA SE CluserImageScanner is going Open Source, 2021-03

Imagens

As imagens a serem usadas pelo ArgoWorkflows são publicadas no quay.io (2021-06-28):

• cluster-image-scanner-scan-runasroot
• cluster-image-scanner-scan-distroless
• cluster-image-scanner-scan-lifetime
• cluster-image-scanner-scan-malware
• cluster-image-scanner-scan-new-version
• cluster-image-scanner-imagefetcher
• cluster-image-scanner-notifier
• cluster-image-scanner-imagecollector
• cluster-image-scanner-image-source-fetcher
• cluster-image-scanner-workflow-runner
• quay.io/sdase/image-metadata-collector
• quay.io/sdase/defectdojo-client

cluster-image-scanner-base é a base para todas as imagens cluster-image-scanner-*.

As imagens são construídas com buildah. Os parâmetros de ambiente com os quais a imagem pode ser iniciada são documentados via --config dentro dos scripts build.sh dentro de images.

Contribuindo

Estamos ansiosos por contribuições. Dê uma olhada em nossas Diretrizes de Contribuição antes de enviar Pull Requests.

Divulgação Responsável e Segurança

O SECURITY.md inclui informações sobre divulgação responsável e tópicos relacionados à segurança, como patches de segurança.

Implantação

Teste

cd test_actions
export IS_MINIKUBE=true # if minikube is used
./setup.bash

Produção

Os arquivos helm estão em deployment/helm.

Aviso Legal

O objetivo do ClusterImageScanner não é substituir os testadores de penetração ou torná-los obsoletos. Recomendamos fortemente a realização de testes extensivos por testadores de penetração experientes em todas as suas aplicações. O ClusterImageScanner deve ser usado apenas para fins de teste de suas aplicações/contêineres em execução. Você precisa de um acordo por escrito da organização do ambiente sob varredura para escanear componentes com o ClusterScanner.

Informações do Autor

Este projeto é desenvolvido por Signal Iduna e SDA SE.