Всем привет!

Недавно Aqua Security Research Team опубликовала отчет в своем блоге о новом типе атак на контейнеры - fileless malware attack. Опасность такого рода атаки в том что ее крайне трудно отследить и заблокировать выполнение, так как все неприятности происходят в оперативной памяти контейнера.
В случае fileless malware при запуске контейнера из образа запускается скрипт, распаковывающий несколько зашифрованных вредоносных файлов и подготавливающий среду для выполнения атаки.

Как устроена атака?

🍩 Скрипт распаковывает и загружает в память malware
🍩 Запускается rootkit для маскировки системных процессов
🍩 Один из маскированных процессов запускает дочерний процесс криптомайнинга
🍩 И еще один из процессов собирает и выгружает данные на удаленный сервер, организовывая backdoor

Фактически из исходного образа запускается всего один скрипт, а все остальное происходит уже в оперативной памяти.

Рекомендации специалистов, как не стать жертвой такой атаки не новы, но тем не менее способны усложнить жизнь атакующим:

🍩 Сканируйте все используемые образы, убедитесь что вы знакомы с ними и с их использованием, используйте минимальные привилегии, такие как "не работать под root и в привелегированных режимах"
🍩 Анализируйте активность в контейнерах, например при помощи Tracee (open source)
🍩 Анализируйте логи, особенно в части пользовательские действий и обращайте внимание на аномалии

Подробнее с техническим "мясцом" - в блоге Aqua:
https://blog.aquasec.com/fileless-malware-container-security

Всем привет!

21.12 вышел новый релиз Prisma Cloud Compute Edition – версия 20.12 (эх, жаль ребята не выпустили его на день раньше, получилось бы очень символично). Из наиболее интересных изменений:

🍭 В качестве объектов применения политик теперь можно выбирать коллекции
🍭 Cloud Native Network Firewall (CNNF) – он вернулся!!! Теперь сетевые правила необходимо задавать в ручную. Автоматическое обучение более не применяется для enforcing’a правил контроля сетевого взаимодействия
🍭 Добавлены compliance-проверки для CRI-O
🍭 Добавлена поддержка Admission Control для Red Hat OpenShift 4
🍭 Расширены возможности Web Application and API Security (WAAS)

Подробности можно найти по ссылке: https://docs.paloaltonetworks.com/prisma/prisma-cloud/20-12/prisma-cloud-compute-edition-release-notes/release-information/release-notes-20-12.html

QUAD DAMAGE! ⚔️⚔️⚔️⚔️

Возможно, в вашем сердце что-то «встрепенулось» и вы даже вспомнили этот голос ) До Нового Года совсем немного времени и, надеемся, что вы уже можете немного расслабиться! Как это можно сделать? Например, сыграть в Quake 3 на Raspberry PI и Kubernetes! Не верите? Тогда вот вам отличный how to, переведенный ребятами из Флант: https://habr.com/ru/company/flant/blog/532452/

Очень согласны с примечанием переводчика: «Казалось бы, еще недавно сочетание из заголовка казалось невозможным безумием». Все же, не смотря на COVID и иные трудности, мы живем в потрясающее время! ☺️

Всем привет !

Любой администратор Kubernetes рано или поздно сталкивается с ситуацией, когда удаляемый ресурс не исчезает, а продолжает существовать в состоянии "Terminating".
В отличной статье на OpenShift Blog объясняется:

🍭 почему возникает подобная ситуация
🍭 почему не стоит "махать шашкой"
🍭 что правильно делать в таких ситуациях

https://www.openshift.com/blog/the-hidden-dangers-of-terminating-namespaces

Друзья, с наступающим!
2020 для нас особый год, в том числе потому, что это год рождения нашего канала👶 Именно в 2020 мы решили, что хватит делиться крутыми новостями только внутри и расшарили его на всех вас 🤗
Сейчас нас уже больше 500, и в новом году у нас большие планы: собрать community лучших спецов по DevSecOps в России в одном месте, где мы сможем делиться новостями и обсуждать возникающие проблемы 😎
Stay tuned и волшебного вам Нового Года! 🍾

Всем привет!

CNCF подвел итоги 2020 года и подготовил сводный отчет о развитии community, его составе и о событиях, которые произошли за год. Наиболее полезными разделами на наш взгляд стали:

🍭 End user technology radar (стр. 9) - чем-то напоминает Gartner Hype Cycle: что "можно брать, протестировано", а что - "смотрим, наблюдаем"
🍭 Информация о доступных тренингах и сертификациях (стр. 14), включая информацию об анонсированном в ноябре 2020 года Certified Kubernetes Security Specialist
🍭 Сведения о проектах, которые были «приняты» в 2020 году (стр. 16) в количестве 35 штук
🍭 Сведения о проектах, которые были «обновлены» в 2020 году (стр. 17)
🍭 Ссылки на наиболее популярные посты в блоге CNCF (стр. 19)

Ознакомиться с материалами можно по ссылке: https://www.cncf.io/cncf-annual-report-2020/

Привет!

StackRox подготовили обзор под названием «Protecting Kubernetes: The Kubernetes Attack Matrix and How to Mitigate Its Threats». В качестве основы ребята взяли адаптацию фреймворка MITRE ATT&CK от Microsoft. Для каждой из 40 техник доступно описание возможных способов противодействия, собраны лучшие практики. Обзор получился общим, т.к. нет единого решения, которое подойдет всем, но все же может быть использован для понимания того, как выстроить защиту кластера.

Отчет примечателен тем, что рекомендации по противодействию авторы разделили на 3 группы:
🍭 Использование штатных механизмов безопасности Kubernetes
🍭 Использование сервисов Cloud Platform Provider’a
🍭 Использование сторонних решений

Для некоторых тактик приведены ссылки на «Real-world Example». Не обошлось, конечно же, без небольшой рекламы – «Где StackRox может помочь?». Но, spoiler (!), согласно тому же обзору 20 из 40 рассмотренных тактик можно противостоять с использованием собственных ИБ-возможностей Kubernetes.

P.S. Для скачивания обзора необходимо указать email, можно взять любой, мы проверяли. Preview не отображается, поэтому дублируем ссылку еще раз: https://security.stackrox.com/protecting-against-K8s-threats-white-paper.html?Source=Social&LSource=Social

Привет!

По ссылке доступна утилита KubeLinter, которая позволяет проверять Kubernetes YAML и Helm Charts. Проверки направлены на оценку production readiness и security.
Возможна гибкая настройка – некоторые проверки можно отключать по желанию, также можно добавлять собственные.

В качестве примера, доступного по ссылке, приведена идентификация следующих недостатков:
🍭 "Security": Pod is not running as a read only file system
🍭 "Production readiness": CPU and memory limits are not set

В случае, если какая-либо проверка не была пройдена, KubeLinter предлагает рекомендации по устранению недостатка, приводятся ссылки на документацию (там, где применимо).

Документация на утилиту (хоть и небольшая) доступна по ссылке: https://github.com/stackrox/kube-linter/tree/main/docs

Всем привет!

24 января пройдет вебинар, посвященный Software Composition Analysis, SCA под руководством Maya Kaczorowski (Product Manager at GitHub in software supply chain security). На семинаре обещают рассказать про то, как:

🍭 Определить используемые зависимости (dependencies)
🍭 Как сделать так, чтобы они были up-to-date
🍭 Как узнавать о том, что появились обновления по ИБ, которые необходимо установить
🍭 Как работать с потенциальными сложностями

Кроме того, на вебинаре продемонстрируют несколько open source инструментов, которые позволяют автоматизировать выполнение задач, указанных выше.

P.S. Вебинар будет проходить с 13 до 14 GMT-5 (21-22:00 по Московскому времени)

Всем привет!

В блоге компании Aqua Security появился новый пост от Liz Rice, посвященный rootless контейнерам (дословно - "безрутовым" контейнерам). Rootless контейнеры представляют собой относительно новую концепцию, которая позволит обеспечить более безопасный подход к запуску контейнеров.

Этот подход достигается благодаря следующим пунктам:
🍡Пользователю не требуется быть привилегированным на хосте для того, чтобы создавать rootless контейнеры
🍡Запуск кода внутри такого контейнера может быть выполнен с рутовыми привилегиями без необходимости использования рутовых привилегий на уровне хоста

В статье вы найдете более подробную информацию о том:
🍡Почему root контейнеры лучше не использовать
🍡Что такое rootless контейнеры и как они работают (также приведено краткое описание о том, какими инструментами они уже поддерживаются)
🍡Видео с демонстрацией логики работы rootless контейнеров (всего 7 минут!)

Дополнительная информация по rootless контейнерам может быть найдена здесь.

P.S. Liz Rice является сотрудником Aqua Security, а так же входит в состав Technical Oversight Committee CNCF.

Привет!

19 января пройдет конференция «Destination: Zero-Trust», посвященная вопросам обеспечения безопасности. Примеры докладов:

🍭 Embracing change: policy-as-code for Kubernetes with OPA and Gatekeeper
🍭 Delivering secure API-centric microservices
🍭 Zero trust & Kubernetes: redefine your web app & API security model
🍭 Top API security threats every API team should know
🍭 How to do Kubernetes security when you don't know anything about Kubernetes security

Отличная подборка спикеров - Weaveworks, SNYK, Octa, HashiCorp, DataDog, StackRox и другие! Единственный «недостаток» - время проведения, с 19:00 до 01:00 (московское время), надеемся, что будут доступны ссылки на запись и продемонстрированные материалы.

P.S. Адаптивное расписание, основанное на текущей локации пользователя – просто прекрасно! И почему не все так делают ☺️

Всем привет!

Компания Aqua Security опубликовала в своем блоге статью с перечнем ТОП-5 угроз безопасности, выявленных исследовательской командой компании Team Nautilus в 2020 году. В статье приводится перечень материалов, краткое описание и ссылки на более детальную информацию.

Для быстрого обзора перечень, представленный в статье, выглядит следующим образом:
🍡Attacker Building Malicious Images Directly on Your Host, 15.07.2020 (про использование некорректно сконфигурированного Docker API для сборки и запуска вредоносного образа на хосте)
🍡Deep Analysis of TeamTNT Techniques Using Container Images to Attack, 25.08.2020 (про техники атак, используемые группировкой TeamTNT; исследовательская команда выполняла анализ образов, которые лежали на Docker Hub аккаунте группировки; сама TeamTNT известна тем, что использовала криптомайнингового червя для кражи учетных данных AWS, о чем более подробно можно почитать в этой статье)
🍡Kinsing Malware Attacks Targeting Container Environments, 03.04.2020 (про атаки на среды контейнеризации, в основе которых лежит эксплуатация открытого порта Docker API, чтобы запустить Ubuntu контейнер с вредоносом kinsing, который, в свою очередь, запускает криптомайнер и пытается распространить вредонос дальше по хостам и контейнерам)
🍡Fileless Malware Executing in Containers, 02.12.2020 (про атаки, связанные с запуском вредоносов в памяти контейнера, чтобы обойти разные механизмы защиты, например, статический анализ)

Привет!

Задумывались о сдаче экзамена на Certified Kubernetes Security Specialist (CKS)? Не знаете, с чего начать? Попробуйте посмотреть материалы, доступные по ссылке!

Автор агрегирует данные, которые могут быть полезны – от описания самого экзамена до ссылок на материалы (официальная документация, статьи, видео, обучающие курсы, инструментарий), которые могут пригодиться!

Всем привет!

Если вы хотели знать про seccomp, но боялись спросить, то эта статья для вас! Автор описывает:

🍭 Что такое seccomp профили, зачем их создавать и почему default profile не достаточен
🍭 Как можно создать собственный профиль и применить его на уровне Docker
🍭 Пример использования собственных профилей для Kubernetes

Просто, понятно и с большим количеством примеров!

Привет!

Одна из очень популярных проблем ИБ – shadow что-то. Это могут быть виртуальные машины, которые «кто-то создал и забыл удалить», «обычные серверы, которые существуют, и никто не знает об их существовании или зачем они нужны». Это приводит к тому, что злоумышленник потенциально может этим воспользоваться для атаки на Компанию. Хорошей практикой считается инвентаризация и контроль используемости чего-либо: зачем оставлять то, что не используется?

Такое может случиться и с Kubernetes. По ссылке доступна небольшая, но приятная утилита, которая позволяет производить "чистку" неиспользуемых ресурсов (сущность: причина удаления):

🍭 Pod: Not running
🍭 ConfigMap: Not used by any Pods
🍭 Secret: Not used by any Pods or ServiceAccounts
🍭 PersistentVolume: Not satisfying any PersistentVolumeClaims
🍭 PersistentVolumeClaim: Not used by any Pods
🍭 Job: Completed
🍭 PodDisruptionBudget: Not targeting any Pods
🍭 HorizontalPodAutoscaler: Not targeting any resources

Утилиту можно запускать в dry run, чтобы посмотреть, какие именно ресурсы будут удалены и почему. В последнем разделе описания доступны ссылки на аналогичные ресурсы.

Привет!

В октябре 2020 года Snyk анонсировал новый продукт в своей линейке – Snyk Code. Решение, представляющее из себя SAST, расширит продуктовую линейку компании.

Snyk Code построен на базе DeepCode, который был приобретен Snyk. Если верить тому, что пишут, то ребята постарались создать developer (not security) first решение, которое устраняет «традиционные» проблемы SAST: медленная скорость работы, неудобные результаты, большое количество ложных срабатываний.

«The semantic analysis engine added via DeepCode, trained on Snyk’s Vulnerability Database, reduces false positives to near-zero» - трудно представить, но посмотреть что это уже хочется 😊

Подробности можно узнать по ссылке: https://snyk.io/blog/developer-first-sast-with-snyk-code/

Ссылка на документацию Snyk Code: https://support.snyk.io/hc/en-us/categories/360003257537-Snyk-Code

Привет!

По ссылке доступен отчет «The State of DevSecOps Report», подготовленный компанией Contrast Security. Примеры данных из отчета:

🍭 open source компоненты есть в большинстве приложений (от 50% до 75% приложений разрабатываются с его участием)
🍭 Большинство опрошенных (33%) делают deploy to production несколько раз в неделю. 25% и 22% опрощенных – еще чаще: несколько раз в день, с каждым изменением
🍭 От 4 до 25 – среднее количество уязвимостей в production (78%)
🍭 У большинства опрошенных (31%) отсутствует явно выделенная роль Application Security специалиста, она распределена между разработчиками и информационной безопасностью
🍭 Разработчики могут игнорировать (37% - иногда, 29% - время от времени) тесты по информационной безопасности для того, чтобы не отставать от release cycles

Остальное – в самом отчете (35 страниц с графиками и цифрами)

Всем привет!

Stackrox подготовили неплохой материал, который можно использовать при подготовке к экзамену Certified Kubernetes Security Specialist (CKS). Материал охватывает рекомендации и ссылки на полезные материалы по таким разделам как:

🍭 Cluster Setup (Network policy, CIS Bench, Ingress etc.)
🍭 Cluster Hardening (API Access, RBAC, etc.)
🍭 System Hardening
🍭 Minimize Microservice Vulnerabilities (PSP, OPA, Security Context, etc)
🍭 Supply Chain Security
🍭 Monitoring, Logging and Runtime Security

Всем привет!
На Хабре появилась аналитическая статья по текущему использованию контейнерной разработки в нашей стране.
Подоплекой статьи послужило масштабное исследование, проведенное несколько месяцев назад среди крупных представителей отечественного рынка об использовании контейнерных технологий в разработке ПО.
Подобного материала в интернете, казалось бы, достаточно, однако не каждое исследование опирается на реалии российского рынка.

В статье приводятся любопытные комментарии и интересная статистика на интригующие темы:

🍩 Насколько распространена контейнеризация в российских компаниях.
🍩 Сильно ли мы отстаём от западных стран
🍩 С какими сложностями при внедрении контейнеров сталкиваются отечественные крупные игроки рынка
🍩 Успевает ли безопасность адаптироваться под новые среды
🍩 Opensource или Enterprise

Материал может быть полезен всем, кто использует или планирует использовать контейнерную разработку в своих компаниях. А так же может быть полезным с точки зрения понимания потенциальных проблем, с которыми приходится сталкиваться бизнесу при внедрении новых для себя технологий!

Статья доступна по ссылке: https://habr.com/ru/company/jetinfosystems/blog/539404/

Всем привет!

Вышло обновление и без того прекрасной схемы о том, как Troubleshoot Kubernetes Deployments. По ссылке доступна сама схема (да, есть вариант в pdf!) и рекомендации:

🍭 Полезные команды при troubleshoot pods
🍭 Обзор startup ошибок (ImagePullBackoff, ErrImageNeverPull, RegistryUnavailable и т.д.) с рекомендациями по поиску ошибок
🍭 Обзор runtime ошибок (CrashLoopBackOff, KillPodSandboxError, RunInitContainerError и т.д.) с рекомендациями по поиску ошибок
🍭 Как подойти к вопросу troubleshoot для Service
🍭 Рекомендации по поиску ошибок в работе Ingress

P.S. Схема невероятна, хоть на стену вешай! Всех с пятницей!