ClusterImageScanner

Обнаружение уязвимостей и неправильной конфигурации образов контейнеров в производственных средах.

Введение

ClusterImageScanner обнаруживает образы в кластере Kubernetes и предоставляет быструю обратную связь на основе различных проверок безопасности. Рекомендуется запускать ClusterImageScanner в производственных средах, чтобы получать актуальную информацию о проблемах безопасности там, где они имеют реальное влияние.

Поскольку ClusterImageScanner сам является сервисом, работающим в вашем кластере Kubernetes, вы можете повторно использовать существующие процедуры развертывания.

Обзор

На следующем рисунке представлен обзор: Выполняются следующие шаги.

1. Image Collector, как следует из названия, собирает различные образы из контейнерной среды, такой как кластер Kubernetes. Collector создаёт JSON-файл, включающий информацию, такую как кластер, ответственная команда и образ.
2. Оркестратор (реализованный через ArgoWorkflows) запускает рабочий процесс периодически (например, каждую ночь).
3. Образы из Collector могут быть получены Image Fetcher'ом.
4. Эти файлы хранятся в отдельной директории, откуда они передаются сканеру.
5. Используется несколько сканеров, например Dependency Track, Lifetime, Malware и другие.
6. Система управления уязвимостями (в нашем случае OWASP DefectDojo) затем собирает результаты.
7. Неотвеченные находки становятся доступны разработчикам через канал связи (Slack/Email).

Содержание документации

• Пользовательская документация
• Архитектура и решения
• Документация оператора

Видео (английский): SDA SE CluserImageScanner становится Open Source, 2021-03

Образы

Образы, используемые ArgoWorkflows, публикуются в quay.io (2021-06-28):

• cluster-image-scanner-scan-runasroot
• cluster-image-scanner-scan-distroless
• cluster-image-scanner-scan-lifetime
• cluster-image-scanner-scan-malware
• cluster-image-scanner-scan-new-version
• cluster-image-scanner-imagefetcher
• cluster-image-scanner-notifier
• cluster-image-scanner-imagecollector
• cluster-image-scanner-image-source-fetcher
• cluster-image-scanner-workflow-runner
• quay.io/sdase/image-metadata-collector
• quay.io/sdase/defectdojo-client

cluster-image-scanner-base является базовым для всех образов cluster-image-scanner-*.

Образы собираются с помощью buildah. Параметры окружения, с которыми можно запустить образ, документированы через --config в скриптах build.sh в images.

Вклад

Мы с нетерпением ждём ваших вкладов. Ознакомьтесь с нашими Рекомендациями по участию перед отправкой Pull Request.

Ответственное раскрытие и безопасность

Файл SECURITY.md содержит информацию об ответственном раскрытии и темах, связанных с безопасностью, таких как исправления безопасности.

Развертывание

Тест

cd test_actions
export IS_MINIKUBE=true # if minikube is used
./setup.bash

Продакшн

Файлы Helm находятся в deployment/helm.

Юридическое уведомление

Цель ClusterImageScanner — не заменить тестировщиков на проникновение или сделать их устаревшими. Мы настоятельно рекомендуем проводить обширные тесты опытными тестировщиками на проникновение всех ваших приложений. ClusterImageScanner предназначен только для тестирования ваших работающих приложений/контейнеров. Вам необходимо письменное согласие организации сканируемой среды на сканирование компонентов с помощью ClusterScanner.

Информация об авторах

Этот проект разработан Signal Iduna и SDA SE.