Складчина: Безопасность в Kubernetes [Тариф Видеокурс] [Слёрм] [Максим Мошаров, Александр Терехин, Дмитрий Евдокимов]
Практический курс, охватывает все аспекты безопасности проекта на Kubernetes. От сканирования уязвимостей до защиты на панели управления и сети.
Чему вы научитесь:
- Защищать панель управления и сеть Kubernetes
- Автоматизировать сканирование уязвимостей в контейнерах и кластере.
- Контролировать процессы аутентификации, авторизации и учета (ААА) и управлять чувствительными данными.
- Отрабатывать защиту кластера на реальных заданиях.
- Обеспечивать безопасность контейнеров и применять политики.
- Инженеры безопасности
- Инженеры по надежности систем (SRE) и автоматизации (DevOps)
- Разработчики, работающие с кластерами Kubernetes
- Системные/облачные администраторы
- Архитекторы Kubernetes/облачных решений
Программа:
1. Введение
- Расскажем всё о процессе обучения и как получить доступы
- Задача инженера: Понимать основные принципы безопасности проекта, живущего в Kubernetes. Знать о моделях угроз.
- Практика и теория: Что такое безопасность проекта в контексте Kubernetes? Безопасность, разработка и эксплуатация (Sec, Dev, Ops) — как всем подружиться и жить счастливо?
- Задача инженера: Не допустить перехват управления кластером злоумышленником. Знатьлучшие практики (best practices) по защите основных компонентов Kubernetes и иметь под рукой чек-лист, позволяющий проверить проект на потенциальные уязвимости.
- Практика и теория: незащищённый порт программного интерфейса (API), защита хранилища ETCD, анонимная авторизация, на что ещё обратить внимание? Как с помощью набора рекомендаций по безопасности (CIS Benchmarks) повысить свою уверенность?
- Задача инженера: На глубинном уровне понимать, как работает авторизация и аутентификация в кластере Kubernetes и знать, как правильно их приготовить. Уметь не только настроить эти процессы безопасно, но и визуализировать их, а также сделать процесс идентификации пользователя более удобным с помощью Keycloak.
- Практика и теория: Как с помощью система Keycloak выстроить рабочий, удобный и безопасный процесс идентификации пользователей в кластере? Как работает авторизация и аутентификация в Kubernetes?
- Задача инженера: Научиться работать с безопасностью при зарождении проекта — на этапе написания кода.
- Практика и теория: Как убедиться, что в написанном коде нет уязвимостей? Чем могут помочь такие инструменты анализа безопасности, как Sast/SecretScan, и как их использовать? Как анализировать чувствительные (sensitive) данные прямо в системах автоматизации (CI)?
- Задача инженера: Уметь настроить политики безопасности с помощью Policy Engine внутри кластера Kubernetes. Понимать, как работают контроллены допуска (Admission Controllers) и знать, чем можно заменить политики безопасности подов (PSP)
- Практика и теория: Как с помощью таких представителей как системы управления правилами (Kyverno, Open Policy Agent), контролировать всё, что создается в кластере и заменить собой большинство Admission Controller’ов, таких как политики безопасности подов (PSP)? Как работают механизмы обратных вызовов для допуска (Admission Webhooks), и как с их помощью можно реализовать в кластере валидацию и изменение практически всего, что угодно?
- Задача инженера: Знать инструменты, которые могут обеспечить безопасность контейнера и максимально усложнят жизнь злоумышленнику.
- Практика и теория: Что там с системой контроля доступа SELinux и Kubernetes, нужно ли оно? Использовать AppArmor или нет? Как закручивать гайки процессам контейнеров с помощью профилей механизма безопасности в Linux (Seccomp) и системных возможностей ядра? Какие существуют Best Practices по безопасности контейнеров в контексте Kubernetes и не только?
- Задача инженера: Знать, как правильно хранить свои чувствительные данные в кластере Kubernetes.
- Практика и теория: Где и как хранить пароли и токены своего проекта, чтобы они были в безопасности?
- Задача инженера: Уметь гибко создавать и управлять сетевыми правилами в кластере Kubernetes.
- Практика и теория: Как организовать сетевую изоляцию сред в рамках кластера? Как сделать так, чтобы проект по сети обращался только к выбранным конечным точкам?
- Задача инженера: Понять, на что требуется обращать внимание в своем проекте с точки зрения безопасности и в каких моментах держать руку на пульсе.
- Практика и теория: Как наблюдаемость (observability) помогает в безопасности проекта?
- Видеоуроки
- Стенды для практики
Скрытая ссылка