mesh-kridik

Повысьте безопасность вашей сервисной сетки Kubernetes!!

mesh-kridik — это инструмент с открытым исходным кодом для проверки безопасности, который выполняет различные проверки безопасности в кластере Kubernetes с сервисной сеткой Istio и формирует отчет о безопасности.

Проверки безопасности являются полной реализацией рекомендаций по безопасности Istio

Проверки безопасности выполняются в кластере Kubernetes с сервисной сеткой Istio и используют OPA (Open Policy Agent) для применения правил безопасности. Итоговый аудиторский отчет включает: корневую причину проблемы безопасности и предлагаемое исправление.

• Требования
• Установка
• Быстрый старт
• Проверки безопасности Istio
• Использование пользовательских плагинов
• Поддерживаемые спецификации
• Участие в разработке

Требования

• Go 1.16+
• jq
• istio

Установка

git clone https://github.com/chen-keinan/mesh-kridik
cd mesh-kridik
make build

• Примечание: mesh-kridik требует запуска от пользователя root

Быстрый старт

Запуск Mesh-Kridik без флагов — выполнить все тесты

 ./mesh-kridik 

Запуск mesh-kridik с флагами — выполнить тесты по требованию

Usage: mesh-kridik [--version] [--help] <command> [<args>]

Available commands are:
  -r , --report : run security checks and generate remediation report
  -i , --include: execute only specific security check, example -i=1.1
  -e , --exclude: ignore specific security check,  example -e=1.1,2.0

Запуск тестов и формирование отчета о проваленных тестах и их исправлениях

./mesh-kridik -r

Проверки безопасности Istio

Использование пользовательских плагинов (через go plugins)

Kube-kridik предоставляет точку расширения для пользовательских плагинов Пример :

• MeshSecurityCheckResultHook — этот хук принимает результаты проверок безопасности сервисной сетки k8s

Компиляция пользовательского плагина

go build -buildmode=plugin -o=~/<plugin folder>/<plugin>.so ~/<plugin folder>/<plugin>.go

Копирование плагина в папку (папка .kube-kridik создается при первом запуске)

cp ~/<plugin folder>/<plugin>.so ~/.kube-kridik/plugins/compile/<plugin>.so

Поддерживаемые спецификации

Kube-kridik поддерживает следующие спецификации и может быть легко расширен:

• Полные рекомендации по безопасности сервисной сетки Istio istio security best practices

Эти спецификации можно легко расширить, изменив файлы спецификаций в папке ~/.mesh-kridik/security/mesh/istio

Участие в разработке

• Вклад в код приветствуется!! Вклад с тестами и прохождением линтера более чем приветствуется :)
• В папке /.dev находится vagrantfile для разработки: Инструкция по разработке