Sicherheit im Kubernetes-Universum Funktion und Leistungen von KBOMs beim Schutz von Cloud-Infrastrukturen

Anbieter zum Thema

Aqua Security

PANDUIT

Vertiv GmbH

Data Center Group – Büro Köln

Die Sicherheit einer Kubernetes-Infrastruktur wird in der Regel durch Sicherheitsscanner überprüft. Ähnlich zu SBOMs können solche Scanner Schwachstellen in Kubernetes-Clustern bewerten, einschließlich der Komponenten, aus denen sie bestehen. Das Ergebnis eines solchen Scans wird als KBOM bezeichnet.

Die Abbildung und Aufzeichnung von Komponenten und ihrer Abhängigkeiten in Anwendungen erfolgt durch die Erstellung von Software Bill of Materials, SBOMs. Eine Software Bill of Materials erleichtert das umfassendere Verständnis der Risiken von Anwendungen. Zudem ermöglicht sie die Bewertung von Schwachstellen und die Überprüfung der Lizenzkonformität.

Während die Praxis der SBOM-Erstellung für Anwendungen etabliert ist, gibt es eine parallele, sicherheitsrelevante Infrastruktur, auf der moderne Anwendungen basieren: Kubernetes. Die Sicherheit der Kubernetes-Infrastruktur wird ebenfalls in der Regel durch Sicherheitsscanner überprüft. Das Ergebnis der Scans wird als KBOM bezeichnet.

Was verbirgt sich hinter einer KBOM?

Kubernetes nimmt eine zentrale Position zwischen verschiedenen grundlegenden Schichten wie Netzwerk, Container-Laufzeit, Cloud-Infrastruktur, Speicher und mehr ein. Diese Komplexität macht Kubernetes zu einer Schlüsselkomponente, die abgesichert werden muss. Die Erfassung und Dokumentation der Zusammensetzung von Kubernetes-Cluster durch eine KBOM ist daher ein lohnenswertes Ziel.

Ähnlich einer Software Bill of Materials (SBOM) ist eine KBOM ein Manifest aller wesentlichen Bestandteile, aus denen ein Kubernetes-Cluster besteht: Control-Plane-Komponenten, Node-Komponenten und Add-ons, einschließlich verschiedener Versionen und Images. Im Gegensatz zur nachträglichen Analyse eines bestehenden Cluster können Kubernetes-Installateure ihre Ergebnisse in einer KBOM melden. Analog zum Unterschied zwischen der SBOM-Generierung mittels SCA und der aus dem Quellcode.

Welchen Mehrwert bietet eine KBOM?

Eine KBOM liefert umfassende Antworten auf Fragen wie:

• „Welche Version des 'api-servers' wird verwendet?“

• „Welche Variante von 'kubelet' läuft auf jedem Knoten?“ oder

• „Welches Netzwerk-Plugin wird derzeit genutzt?“

Eine KBOM hilft somit dabei, Sicherheitsprobleme zu identifizieren und festzustellen, wann ein Upgrade der Cluster-Komponenten erforderlich ist. Die Transparenz, die durch die Generierung einer KBOM und das Scannen von Komponenten auf Sicherheitslücken gewonnen wird, ist nicht nur für Unternehmen von Bedeutung, die ihre eigenen Kubernetes-Umgebungen betreiben, sondern auch für solche, die einen verwalteten Kubernetes-Service nutzen.

Diese benötigen ein solches Maß an Transparenz und Sicherheit, um feststellen zu können, ob ihre Service-Provider anfällige Komponenten verwenden, die für sie ein Risiko darstellen würden.

Wie entsteht eine KBOM?

Es gibt verschiedene Möglichkeiten, KBOMs zu erstellen. Im Kubernetes-Ökosystem existieren unterschiedliche Tools, die dabei helfen können, Komponentenversionen zu verwalten und zu verfolgen. Das am häufigsten genutzte Tool in der Community ist der Open-Source-Schwachstellenscanner „Trivy“.

Seit Anfang 2023 beinhaltet Trivy die Generierung von KBOMs und nutzt die Kubernetes-API zur Erkennung des Cluster. Der Test fand mit gängigen Kubernetes-Distributionen wie „Openshift“, „Rancher“, „Minikube“ und „Kind“ statt. Die Erstellung einer KBOM über ein entsprechendes Tool ist daher nicht besonders komplex. Entscheidender als das Wissen über die Komponenten an sich ist jedoch die Kenntnis darüber, ob Schwachstellen existieren, die diese Komponenten betreffen.

Viele Infrastrukturscanner können lediglich Fehlkonfigurationen erkennen und die Kubernetes-Komponenten nicht auf Schwachstellen überprüfen. Die jüngste Version von Trivy, veröffentlicht im November 2023, bietet nun auch einen Schwachstellen-Scan für Kubernetes-Komponenten über die Generierung von KBOMs. Nutzer können somit einfach eine KBOM für ihre Kubernetes-Umgebung erstellen und diese gleichzeitig auf Schwachstellen überprüfen. Auf diese Weise können sie die Sicherheitsrisiken ihrer Kubernetes-Cluster besser verstehen und das Risiko erheblich verringern.

KBOMs und Schwachstellen-Scans sorgen für erhöhte Sicherheit von Kubernetes

Viele Unternehmen sind zu Recht besorgt über die Sicherheit von Kubernetes, insbesondere im Hinblick auf Schwachstellen und Fehlkonfigurationen. Ähnlich wie SBOMs für die Sicherheit von Anwendungen von entscheidender Bedeutung sind, kann eine KBOM für die Sicherheit der Cloud-Infrastruktur ausschlaggebend sein.

Die Nutzer haben nun die Möglichkeit, nicht nur Workloads und Images zu scannen, sondern auch die eigentliche Kubernetes-Infrastruktur. Diese Erweiterung eröffnet neue Perspektiven, um Entwicklungen in der Sicherheit des Clusters im zeitlichen Verlauf nachzuvollziehen.

Aktuell wird in der Branche weiterhin an einem umfassenden Kubernetes-Schwachstellen-Scanner gearbeitet. In der Zwischenzeit ist es ratsam, dass Unternehmen mithilfe geeigneter Tools vollständige KBOMs für ihre Kubernetes-Infrastruktur erstellen und sie auf mögliche Schwachstellen überprüfen. Auf diese Weise können sie das Sicherheitsrisiko ihrer Kubernetes-Cluster erheblich minimieren.

(ID:50057514)