container-defense-stack

אודות הפרויקט

Container Defense Stack היא פתרון אבטחה מלא שנועד להגן על יישומים מבוססי קונטיינרים לאורך כל מחזור החיים שלהם — מהרגע שתמונת הקונטיינר נבנית, דרך הפריסה שלה ב-clusters של Kubernetes, ועד להתנהגותה בזמן ריצה בייצור. קונטיינרים (Docker, Kubernetes) חוללו מהפכה באופן שבו תוכנה נפרסת, אך הם גם מציגים אתגרי אבטחה ייחודיים שכלי אבטחה מסורתיים לא נועדו לטפל בהם. ה-stack מספק ארבע שכבות אבטחה משולבות: Image Scanning מנתח תמונות קונטיינר לפגיעויות ידועות בחבילות מערכת ההפעלה ותלויות היישום לפני הפריסה. הוא בודק תמונות מול מספר databases של פגיעויות (NVD, אזהרות ספק, פידים קהילתיים) ומפיק דוחות מפורטים המציגים מזהי CVE, ציוני חומרה, חבילות מושפעות ותיקונים זמינים. Runtime Protection משתמש בניטור מבוסס eBPF (באמצעות אינטגרציית Falco) כדי לזהות התנהגות חשודה בתוך קונטיינרים פועלים — כגון הרצת תהליכים בלתי צפויה, שינויים במערכת הקבצים, חיבורי רשת ליעדים חריגים או ניסיונות privilege escalation. Network Policy Management מספק תבניות ואוטומציה עבור Kubernetes NetworkPolicies האוכפות microsegmentation — ומוודאות שקונטיינרים יכולים לתקשר רק עם peers מאושרים במפורש, תוך מניעת lateral movement במקרה של פגיעה. Compliance Auditing מאמתת באופן רציף שפריסות קונטיינרים תואמות להמלצות CIS Kubernetes Benchmark, למדיניות האבטחה הארגונית ולדרישות רגולטוריות. כל אירועי האבטחה מאוגמים ללוח מחוונים מרכזי המספק לצוותי אבטחה נראות מלאה בכל סביבות הקונטיינרים, מפיתוח ועד ייצור.

למה זה חשוב

אימוץ קונטיינרים התפוצץ, עם למעלה מ-90% מהארגונים שמריצים כיום עומסי עבודה מבוססי קונטיינרים בייצור. עם זאת, בשלות אבטחת הקונטיינרים לא עמדה בקצב — תמונת הקונטיינר הממוצעת מכילה 73 פגיעויות ידועות, ורוב הארגונים חסרים נראות למה שרץ בתוך הקונטיינרים שלהם בזמן ריצה. קונטיינרים מציגים סיכונים שאינם קיימים בסביבות שרתים מסורתיות: תמונות בסיס פגיעות מתפשטות לאורך מאות פריסות, פגיעויות container escape עלולות לסכן את מערכת המארח, תצורות שגויות ב-Kubernetes יכולות לחשוף clusters שלמים, והאופי החולף של קונטיינרים מקשה על חקירה פורנזית. בנוסף, מהירות פריסות הקונטיינרים (לעיתים מספר פעמים ביום) הופכת בדיקה ידנית של אבטחה לבלתי מעשית. Stack זה מטפל בכל מחזור החיים של אבטחת קונטיינרים באמצעות בקרות אוטומטיות מונחות-מדיניות המשתלבות בזרימות העבודה הקיימות של CI/CD ושל orchestration. באמצעות defense-in-depth — מספר שכבות אבטחה חופפות — הוא מבטיח שכשל בבקרה אחת לא יוביל לפער אבטחה מלא.

מדריך שלב-אחר-שלב

1. שלבו את סורק התמונות ב-registry של הקונטיינרים או ב-pipeline של CI/CD. הסורק רץ כשלב ב-build pipeline, מנתח כל תמונה לפני שהיא נדחפת ל-registry. הגדירו ספי חומרה כדי לחסום פריסה של תמונות עם פגיעויות קריטיות או גבוהות. הסורק תומך בכל ה-registries המרכזיים (Docker Hub, ECR, GCR, ACR, Harbor).
2. פרסו את agents להגנה בזמן ריצה ב-cluster של Kubernetes באמצעות Helm chart שסופק. הריצו 'helm install container-defense ./helm-chart --namespace security' כדי להתקין agents על כל ה-worker nodes. ה-agents משתמשים ב-eBPF לניטור קל משקל ברמת הליבה עם השפעה מינימלית על הביצועים (בדרך כלל <2% עומס CPU).
3. הגדירו מדיניות רשת באמצעות התבניות שבתיקיית /network-policies/. התחילו עם מדיניות בסיס של 'default-deny-all', ואז אפשרו במפורש נתיבי תקשורת נדרשים. הכלי המצורף ליצירת network policy יכול לנתח את דפוסי התעבורה הקיימים שלכם ולהציע מדיניות אוטומטית.
4. נטרו התראות אבטחה ומצב תאימות דרך לוח המחוונים המרכזי. הדשבורד מציג מגמות פגיעויות בתמונות, אירועי אבטחת זמן ריצה, הפרות מדיניות רשת וציוני תאימות ל-CIS benchmark. הגדירו דוחות שבועיים אוטומטיים לסקירת צוות האבטחה וסיכומים חודשיים להנהלה.

טכנולוגיות בשימוש