Kubewatch: оповещения о событиях в кластерах Kubernetes

Всем привет!

Kubewatch – утилита, которая позволяет получать оповещения о событиях в кластерах Kubernetes, связанных с ресурсами.

Например, создание Service, присвоение ClusterRoleBinding, изменение параметров Deployment и т.д.

Это может быть полезно команде информационной безопасности: узнать, что кому-то был предоставлен доступ или где-то изменили параметры Security Context.

Сейчас Kubewatch поддерживает «основные» ресурсы:
🍭 Deployment
🍭 Service
🍭 ClusterRole
🍭 Secret
🍭 ConfigMap и т.д.

Также можно реализовать настройку оповещений для CRD.

Данные можно отправлять в различные средства коммуникации, например, Slack, Mattermost, Teams, электронная почта и т.д.

А если нужно «что-то свое», то можно использовать обычный webhook.

Image Verify Cache в Kyverno

🔍 Всем привет!
Если вы уже знакомы с инструментом Kyverno, то знаете, что он помогает обеспечить соблюдение политик безопасности в кластере. В частности одно из его возможных применений — верификация образов, подписанных на этапе сборки.

Kyverno имеет неожиданную особенность — по-умолчанию он сохраняет в кэше ссылку на образ, для политик типа imageVerify. Согласно документации, это реализовано для снижения нагрузки на сеть, так как при повторном использовании образа проверка не повторяется. По умолчанию кеш хранится 60 минут.
Но что, если вам нужно изменить это поведение? Разработчики предусмотрели несколько вариантов:

1. Параметры запуска kyverno:
   - imageVerifyCacheEnabled — отключает кеш для imageVerify.
   - imageVerifyCacheMaxSize — определяет количество хранимых значений.
   - imageVerifyCacheTTLDuration — задает время хранения записи в кэше.
2. Использование параметра useCache: false в самой политике.

Эта информация может быть полезна для тех, кто хочет глубже понять работу kyverno и настроить его под свои нужды.

Ротация секретов: how to?

Всем привет!

Небольшой, но тем не менее достаточно важный пятничный пост. Бывает так, что секрет был компрометирован. И его надо сменить.

Команда Truffle Security любезно подготовила набор пошаговых инструкций о том, как это можно сделать для разных сервисов.

В подборку вошли:
🍭 Atlassian
🍭 GitHub
🍭 GitLab
🍭 OpenAI
🍭 Slack и многое другое

Надеемся, что вам никогда не пригодятся эти инструкции. Но на всякий случай, пусть побудут тут 😊

Анализ достижимости: что это такое и как это работает?

Всем привет!

В приложении можно скачать презентацию Mike Larkin, в которой он наглядно показывает, что такое анализ достижимости и как его можно реализовать с использованием open source инструментов.

Авто рассматривает:
🍭 Что такое достижимый код
🍭 Общая информация об анализе достижимости и почему он так важен
🍭 CVE и «информативность» их описания
🍭 SBOM и его роль в анализе достижимости
🍭 Графы вызовов, их использование для понимания «кто вызывает кого» и не только

В результате у Автора получается объединить все вышеописанное вместе для того, чтобы рассмотреть анализ достижимости со всех сторон (пусть и поверхностно).

Для наглядности материал содержит отсылки на используемый инструментарий и примеры анализа для Golang и Java-приложения.

Помимо этого, можно ознакомиться с видео. Рекомендуем! Хотя бы потому, что в нем представлены примеры запуска утилит и комментарии Автора, чего нет в презентации.

Увы, предлагаемый подход поможет понять, что это такое и зачем это нужно, но масштабировать его в компаниях вряд ли получится без «доработок».

Использование AI в статическом анализе

Всем привет!

Статья от GitHub, в которой описано то, как они применяют AI для оптимизации процесса работы с результатами статического анализа ПО.

В статье приводится общая информация о том, как и для чего можно использовать AI в SAST.

Например, выявление большего количества ИБ-дефектов или помощь в их устранении.

Последнему как раз и посвящена основная часть статьи. Автор описывает процесс того, как работает Code Scanning Autofix в связке с CodeQL.

Алгоритм следующий:
🍭 Кодовая база сканируется с использованием CodeQL
🍭 Подготовка prompt’a с информацией об ИБ-дефекте для отправки в Copilot (описание уязвимости из базы CodeQL, пример исходного кода)
🍭 Проверка ответа, полученного от Copilot, удаление всего «лишнего»
🍭 Создание pull request, содержащего вариант по устранению ИБ-дефекта и его описание

Указанный выше алгоритм более детально описывается в статье, с примерами.

Кроме того, в статье очень много ссылок на полезные материалы по теме использования AI для анализа ПО.

В пятницу прошла интересная беседа уважаемых в мире DevOps людей 😎

Смотрели под лупой новую версию Штурвала и рассуждали нужен ли ванильный куб, если можно скачать бесплатную community версию продукта и не мучиться? 😵

Всем приятного просмотра 🤓

https://www.youtube.com/watch?v=1My_GAXjI3A

Полезные ссылки:
Telegram - https://www.tg-me.com/shturval_community
Сайт - https://chislitellab.ru/shturval/

Использование AI для triage: опыт Semgrep

Всем привет!

Продолжаем тему использования AI для оптимизации процесса управления ИБ-дефектами при статическом анализе исходного кода.

«Мы рады заявить, что оценка Semgrep Assistant по обнаружению true positive совпадает с аналогичной оценкой наших специалистов в 95% случаев» - так начинается статья от Semgrep.

Далее в статье описано как именно команде удалось достичь таких впечатляющих результатов.

Например:
🍭 Процесс работы Assistant Autotriage – схема, дополнительный контекст (метаданные правил, предыдущие решения, примеры того, что (не) должно быть найдено и т.д.)
🍭 Сравнение используемых моделей (на выборке из 2000 findings)
🍭 Улучшение результативности за счет разных моделей, оптимизации prompt и т.д.

В завершение описаны идеи команды по дальнейшему развитию Assistant. Например, сейчас он сам не «закрывает» найденные ИБ-дефекты, а только подсказывает.

Рекомендуем! Читается легко, много всего интересного, включая дополнительные ссылки на исследования Semgrep в области использования машинного обучения.

Автоматизация создания схем для Kubernetes

Всем привет!

По ссылке можно найти утилиту, которая позволяет автоматизировать процесс создания диаграмм, визуализирующих взаимосвязь ресурсов приложения, запущенного в Kubernetes - KubeDiagrams.

Подобные утилиты существуют (и предоставлены в repo). KubeDiagrams отличается от них тем, что его можно очень по-разному настроить.

Сам процесс выглядит примерно так:
🍭 Применяем необходимые манифесты в кластере Kubernetes
🍭 Ждем пока все ресурсы будут созданы, pod – запущены и т.д.
🍭 Делаем kubectl get all,sa,cm,pod… -o=yaml > file.yaml
🍭 Передаем указанный файл на вход KubeDiagrams

Готово! Получаем красивую схему
Примеры работы утилиты можно найти в repo.

Насколько хорошо она себя покажет с «большими» приложениями – трудно сказать, надо экспериментировать! ☺️

P.S. Возможно, что есть те, кто ей пользовался и они захотят поделиться мнением ☺️

Знакомьтесь, Шерлок!

Всем привет!

Меня зовут Антон Гаврилов, я один из авторов этого канала. Приятно познакомиться!

Последний год мы вместе с командой работаем над собственной ASOC/ASPM/Иное (мне не очень нравятся эти аббревиатуры 😊) системой, которая получила имя «Шерлок».

В декабре 2024 года был выпущен первый релиз. И мне очень хочется показать его вам и всем, кому это будет интересно!

Если вы:
🍭 Хотите задавать каверзные вопросы
🍭 Хотите посмотреть на-еще-одно-отечественное-ПО
🍭 Продемонстрировать свой скепсис
🍭 Пожать руку, поделиться советом и пожелать удачи
🍭 …

То приходите на вебинар, который будет 13.02, начало в 11:00 (Мск). Да, будет небольшая презентация (для погружения в контекст), а основная часть будет посвящена «живой демонстрации».

Думаю, что на все про всё у нас уйдет часа 1,5. Но! Если вопросов будет много, то задержимся и найдем ответы на все 😊

Спасибо и до встречи!

Антон

P.S. Буду признателен за пересылку приглашения ☺️ Очень хочется узнать ваши мысли относительно того, что мы сделали и продолжаем делать!

The Ultimate DevSecOps Playbook for 2025 AI, ML and beyond

Всем привет!

В приложении можно скачать электронную книгу от Hadess (~ 116 страниц), посвященную безопасной разработке.

Внутри можно найти информацию о:
🍭 KPI команды DevSecOPs и как их считать
🍭 Уровни зрелости DevSecOps (от Initial до Optimized)
🍭 Технологии, используемые для автоматизации практик безопасной разработки
🍭 Использование AI и LLM в DevSecOps – где и для чего они могу пригодиться
🍭 Немного про MLSecOps/AISecOps в DevSecOps

Материала достаточно много, возможно, что-то из этого понравится вам и вы сможете использовать это у себя 😊

Курсы от Wiz!

Всем привет!

Команда Wiz подготовила небольшой набор обучающих курсов, посвященных Cloud Native Security. На текущий момент доступно: Kubernetes Security и SecOps for Cloud. В скором времени команда планирует выпустить AI Security.

Курсы хоть и базовые, но достаточно обширные с точки зрения рассматриваемых тем.

Например, курс про Kubernetes содержит:
🍭 Основы контейнеризации и Kubernetes
🍭 Ошибки в конфигурациях, security posture
🍭 Управление уязвимостями и безопасность цепочки поставок
🍭 Сетевая безопасность, Zero Trust
🍭 Runtime Security и не только

В среднем, для прохождения потребуется от 45 до 60 минут. Никакой регистрации не требуется (вообще). Можно просто открыть ссылку и читать/слушать 😊

Вопросы для интервью!

Всем привет!

Возможно, вам предстоит пройти интервью, вы недавно его проходили или вы просто любите разные квизы.

В этом случае вам может быть интересна подборка, доступная на этом сайте.

В ней собраны вопросы по различным областям. Например:
🍭 Core DevOps Concepts
🍭 Kubernetes
🍭 CI/CD
🍭 Monitoring and Logging
🍭 Site Reliability Engineering и другие

Для каждого раздела есть вопросы и ответы, с которыми можно ознакомиться.

Из минусов – вопросов пока что крайне мало и, зачастую, они достаточно общего характера.

Но! Надеемся, что проект будет развиваться и количество вопросов будет только увеличиваться.

Например, если у вас есть, чем поделиться, то правила внесения изменений описаны в разделе contribute ☺️

The Complete Guide to Kubernetes Security

Всем привет!

Астрологи объявили неделю электронных книг. В приложении можно найти электронную книгу (~ 33 страницы) от CrowdStrike, посвященную Kubernetes Security.

Материал разбит на 4 основные главы:
🍭 Общая информация о Kubernetes и его «месте» в Cloud Native мире
🍭 Основные векторы компрометации кластеров Kubernetes, разложенные по MITRE
🍭 Рекомендации по защите кластеров Kubernetes (Develop and Distribute, Deploy and Runtime)
🍭 Создание программы (плана) по защите среды контейнерной оркестрации

Конечно, не обошлось и без рекламы решений CrowdStrike по защите контейнеров, но ее не так уж и много.

OpenClarity: сканирование контейнеров и кластеров

Всем привет!

OpenClarity – open source проект, который позволяет сканировать кластеры Kubernetes и не только для идентификации ИБ-дефектов.

Он содержит сканеры, позволяющие выявлять:
🍭 Уязвимости
🍭 Вредоносное ПО
🍭 Секреты
🍭 Ошибки в конфигурациях
🍭 Эксплойты

Для этого используется целый набор сканеров и источников данных: Syft, Trivy, Grype, Go Exploit DB, KICS, ClamAV и не только.

Подробнее о решении можно узнать в repo или из его документации.

Запись вебинара "Фреймворк безопасности контейнеров JCSF"

А вот и запись прошедшего вебинара про безопасность контейнеров и фреймворк JCSF, в котором мы принимали участие. Приятного просмотра!

Управление секретами: ArgoCD, HashiCorp Vault и External Secrets Operator

Всем привет!

В статье можно найти очень неплохое руководство о том, как можно реализовать процесс управления секретами в кластерах Kubernetes с использованием ArgoCD (в целом – опционально, без нее ничего не поменяется), HashiCorp Vault и External Secrets Operator (ESO).

Автор фокусируются на двух основных вопросах:
🍭 Как избежать сохранения каких-либо секретов в git (включая аутентификационных токены для Vault)
🍭 Как реализовать синхронизацию секретов без перезапуска приложений

Для того, чтобы процесс был более наглядным, Автор использует минималистичное приложение, которое отображает информацию о секретах в реальном времени.

Весь процесс отлично описан (за исключением установки используемых решений): шаги, конфигурационные параметры, комментарии и то, что происходит «под капотом». Рекомендуем! ☺️

Поиск проблем в Kubernetes с использованием AI

Всем привет!

Иногда хочется, чтобы был «волшебный помощник», который будет искать ошибки и объяснять их «простым языком», а еще лучше – самостоятельно их устранять.

Таким помощником может быть и искусственный интеллект. В статье Автор описывает свои изыскания при работе с GPTScript и Kubernetes.

Статья состоит из следующих разделов:
🍭 Краткая вводная в использование GPTScript
🍭 Разницу между Tool и Agent (это потребуется в дальнейшем)
🍭 Создание простейших Tool и Agent, которые будет отвечать на вопрос о состоянии кластера
🍭 Развитие предыдущей идеи – не только отображать статус, но и вносить изменения
🍭 Deploy наработок в кластер в виде Job

Попутно Автор объясняет, как влияют вносимые им изменения на работу модели и результаты, которые она генерирует.

Да, у такого подхода множество вопросов – «А что, если он не сможет найти причину?», «А что, если он поправит так, что сделает только хуже?», «А как можно доверять такой конструкции?» и т.д. Однако, как концепт – это достаточно интересно на наш взгляд.

Кстати, есть еще один занятный способ использования AI для нужд поиска ошибок – «человеческое общение» с журналами событий (прочитать и посмотреть можно тут).

Вероятно, что со временем подобное станет распространённой практикой и сократит время на обслуживание систем.

А что вы думаете по этому поводу?

Управление уязвимостями от Phoenix Security

Всем привет!

В приложении электронная книга от Phoenix Security (~ 120 страниц) с весьма претенциозным названием: «Building resilient application and cloud security programs to manage vulnerabilities».

Однако, все чуть проще, чем может показаться 😊 В книге очень неплохо описаны размышления о том, как можно выстроить процесс управления уязвимостями и на что обращать внимание. В большей степени речь идет именно про Application Security.

В книге собрана информация о:
🍭 «Источниках данных» ИБ-дефектов и их «месте» в жизненном цикле ПО
🍭 CVE, CVSS – много аналитики и аргументов о том, почему этого крайне мало для принятия решения
🍭 Базах данных с exploits (например, CISA KEV) и EPSS, их роли в оптимизации управления ИБ-дефектами
🍭 Подходах к расстановке приоритетов для устранения ИБ-дефектов, важности роли «контекста»
🍭 Уровнях зрелости процесса и том, что надо делать, чтобы его повысить
🍭 Сравнительных затратах при ручной и (полу) автоматизированной разметке

В книге очень много статистики, рекомендаций и отсылок на разные методологические материалы.

Единственный нюанс – кажется, что все тоже самое можно было рассказать на чуть меньше, чем 120 страниц 😊