해결책(단계별) :
1. 중앙 이미지 레지스트리:
- 모든 컨테이너 이미지에 대한 단일 진실의 소스 역할을 하는 중앙 집중식 이미지 레지스트리를 구축합니다.
- 조직의 요구 사항에 따라 Docker Hub, Harbor 또는 Google Container Registry(GCR)와 같은 레지스트리를 사용하세요.
2. 이미지 스캐닝 통합:
- CI/CD 파이프라인에 컨테이너 이미지 취약성 스캐너를 통합합니다.
- Aqua Security, JFrog Xray, Anchore Engine과 같은 도구를 활용하세요.
- 이미지 빌드 중과 레지스트리에 푸시하기 전에 스캐너가 자동으로 실행되도록 구성합니다.
3. 자동화된 정책 적용:
- 보안 모범 사례를 시행하기 위해 Kubernetes 정책(예: Admission Controller)을 구현합니다.
- 다음을 사용하여 이미지 배포를 차단하는 규칙을 정의합니다.
- 허용할 수 없는 취약성 수준(CVSS 점수 또는 심각도 기준)
- 보안 스캔 누락(예: "스캔됨" 태그가 없는 이미지)
- 승인되지 않은 이미지 소스(중앙 레지스트리의 이미지로 배포 제한)
4. 이미지 서명:
- 보안을 한층 더 강화하기 위해 이미지 서명을 구현합니다.
- 신뢰할 수 있는 키를 사용하여 레지스트리의 이미지에 서명합니다.
- 신뢰할 수 있는 키로 서명된 이미지만 배포되도록 Kubernetes를 구성합니다.
- 이는 이미지의 변조나 무단 수정을 방지하는 데 도움이 됩니다.
5. 접근 제어 및 역할 기반 접근 제어(RBAC):
- 이미지 레지스트리와 Kubernetes 클러스터에 액세스할 수 있는 사람을 제한하기 위해 강력한 액세스 제어 메커니즘을 구현합니다.
- RBAC를 사용하여 각 팀에 책임에 따라 구체적인 권한을 부여합니다.
- 예를 들어 개발자는 빌드 이미지에 액세스하여 레지스트리에 푸시할 수 있고 배포 팀은 풀링에 액세스할 수 있습니다.
이미지를 클러스터에 배포합니다.
6. 보안 모범 사례 교육:
- 컨테이너 보안 모범 사례에 대해 개발 팀을 교육합니다.예:
- 최소한의 기본 이미지 사용
- 불필요한 종속성 방지
- 린터 및 분석기와 같은 보안 도구 사용
- 보안 코딩 관행 준수
- 변화하는 보안 위협과 업계 모범 사례를 반영하기 위해 정책과 절차를 정기적으로 검토하고 업데이트합니다.
7. 감사 및 모니터링:
- 모든 이미지 풀, 배포 및 잠재적인 보안 문제를 추적하기 위해 감사 및 모니터링을 구현합니다.
- 로그, 보안 대시보드, 모니터링 도구를 사용하여 이상 징후나 보안 위반 사항을 식별하고 해결합니다.
8. 지속적인 개선:
- 보안 공급망 절차를 검토하고 개선하기 위한 지속적인 개선 프로세스를 수립합니다.
- 보안 태세를 정기적으로 평가하고 개선이 필요한 영역을 파악하며 전반적인 보안을 강화하기 위한 변경 사항을 구현합니다.
이러한 단계를 거치면 Kubernetes 클러스터 전체에서 포괄적인 보안 공급망 프로세스를 구축하여 배포된 모든 이미지가 취약점을 검사하고, 보안 모범 사례를 준수하며, 애플리케이션의 전반적인 보안 태세를 개선하는 데 도움이 됩니다.

해결책(단계별) :
1. PSPI를 생성합니다
- 'production' 네임스페이스의 포드 기능을 제외하고 권한이 있는 컨테이너와 기능의 사용을 제한하는 PSP를 정의합니다.

2. PSP 바인딩 만들기: - PSP를 'production' 네임스페이스에 바인딩합니다.

3. Pod 생성: - 'production' 네임스페이스에 Pod를 생성하고 'NET_ADMIN' 기능이 있는 'securitycontext'를 지정합니다.

4. YAML 파일을 적용합니다. - 'kubectl apply -f'를 사용하여 생성된 YAML 파일을 적용합니다. 5. 권한을 확인합니다. - 'NET_ADMIN' 권한이 있는 다른 네임스페이스에 Pod를 생성해 보세요. 거부되어야 합니다.

[controlplane@cli] $ k get pods -n nato -o yaml | grep "image: "
[controlplane@cli] $ trivy image <이미지 이름>
[controlplane@cli] $ k pod <취약한 pod> -n nato 삭제
[desk@cli] $ ssh 제어 노드
[controlplane@cli] $ k 포드 가져오기 -n nato
이름 준비 상태 재시작 나이
알로모라 1/1 달리기 0 3m7s
c3d3 1/1 달리기 0 2m54s
네온포드 1/1 실행 0 2m11s
토르 1/1 러닝 0 58초
[controlplane@cli] $ k get pods -n nato -o yaml | grep "image: "

[controlplane@cli] $ k 포드 삭제 thor -n nato
[controlplane@cli] $ k delete pod neon-pod -n nato 참조: https://github.com/aquasecurity/trivy
[controlplane@cli] $ k delete pod neon-pod -n nato 참조: https://github.com/aquasecurity/trivy

API 서버에서 발견된 다음 위반 사항을 모두 수정하세요. a. RotateKubeletServerCertificate 인수가 true로 설정되어 있는지 확인하세요.
api 버전: v1
종류: 포드
메타데이터:
creationTimestamp: null
라벨:
구성 요소: kubelet
계층: 제어 평면
이름: kubelet
네임스페이스: kube-system
투기:
컨테이너:
- 명령:
- kube-controller-manager
+ - --feature-gates=RotateKubeletServerCertificate=true
이미지: gcr.io/google_containers/kubelet-amd64:v1.6.0
라이브니스 프로브:
실패 임계값: 8
httpGet:
호스트: 127.0.0.1
경로: /healthz
포트: 6443
스키마: HTTPS
초기 지연 초: 15
시간 초과 초: 15
이름: kubelet
자원:
요청:
CPU: 250m
볼륨마운트:
- 마운트 경로: /etc/kubernetes/
이름: k8s
읽기 전용: 참
- 마운트 경로: /etc/ssl/certs
이름: 인증서
- mountPath: /etc/pki
이름: pki
호스트 네트워크: true
볼륨:
- 호스트 경로:
경로: /etc/kubernetes
이름: k8s
- 호스트 경로:
경로: /etc/ssl/certs
이름: 인증서
- 호스트 경로:
경로: /etc/pki
이름: pki
b. 입장 제어 플러그인 PodSecurityPolicy가 설정되어 있는지 확인하세요.
감사: "/bin/ps -ef | grep $apiserverbin | grep -v grep"
테스트:
테스트_항목:
- 플래그: "--enable-admission-plugins"
비교하다:
op: 있다
값: "PodSecurityPolicy"
설정: 참
교정: |
설명서를 따르고 환경에 맞게 Pod 보안 정책 객체를 생성하세요.
그런 다음 API 서버 Pod 사양 파일 $apiserverconf를 편집합니다.
마스터 노드에서 --enable-admission-plugins 매개변수를 PodSecurityPolicy를 포함하는 값으로 설정합니다.
--enable-admission-plugins=...,PodSecurityPolicy,...
그런 다음 API 서버를 다시 시작합니다.
득점: 참
c. --kubelet-certificate-authority 인수가 적절하게 설정되었는지 확인하세요.
감사: "/bin/ps -ef | grep $apiserverbin | grep -v grep"
테스트:
테스트_항목:
- 플래그: "--kubelet-certificate-authority"
설정: 참
교정: |
쿠버네티스 설명서를 따라 apiserver와 kubelets 간의 TLS 연결을 설정하세요. 그런 다음 API 서버 Pod 사양 파일을 편집하세요.
마스터 노드에서 $apiserverconf를 설정하고 --kubelet-certificate-authority 매개변수를 인증 기관의 인증서 파일 경로로 설정합니다.
--kubelet-인증서-기관=<ca-문자열>
득점: 참
ETCD에서 발견된 다음 위반 사항을 모두 수정하세요.
a. --auto-tls 인수가 true로 설정되지 않았는지 확인하십시오.
마스터 노드에서 etcd pod 사양 파일 $etcdconf를 편집하고 --auto-tls 매개변수를 제거하거나 false로 설정합니다. --auto-tls=false b. --peer-auto-tls 인수가 true로 설정되어 있지 않은지 확인합니다. 마스터 노드에서 etcd pod 사양 파일 $etcdconf를 편집하고 --peer-auto-tls 매개변수를 제거하거나 false로 설정합니다. --peer-auto-tls=false