課程簡介

介紹

集羣設置

  • 使用網絡安全策略限制集羣級別訪問
  • 使用 CIS 基準審查 Kubernetes 組件(etcd、kubelet、kubedns、kubeapi)的安全配置
  • 正確設置具有安全控制的 Ingress 對象
  • 保護節點元數據和端點
  • 儘量減少 GUI 元素的使用和訪問
  • 在部署前驗證平臺二進制文件

集羣加固

  • 限制對 Kubernetes API 的訪問
  • 使用基於角色的訪問控制(RBAC)最小化暴露
  • 謹慎使用服務賬戶,例如禁用默認賬戶,最小化新創建賬戶的權限
  • 頻繁更新 Kubernetes

系統加固

  • 最小化主機操作系統佔用(減少攻擊面)
  • 最小化 IAM 角色
  • 最小化外部網絡訪問
  • 適當使用內核加固工具,如 AppArmor、seccomp

最小化微服務漏洞

  • 設置適當的操作系統級別安全域,例如使用 PSP、OPA、安全上下文
  • 管理 Kubernetes 密鑰
  • 在多租戶環境中使用容器運行時沙箱(如 gvisor、kata 容器)
  • 通過使用 mTLS 實現 Pod 到 Pod 的加密

供應鏈安全

  • 最小化基礎鏡像佔用
  • 保護供應鏈:白名單允許的鏡像倉庫,簽名和驗證鏡像
  • 使用靜態分析用戶工作負載(如 Kubernetes 資源、Docker 文件)
  • 掃描鏡像以查找已知漏洞

監控、日誌和運行時安全

  • 在主機和容器級別對系統調用、進程和文件活動進行行爲分析,以檢測惡意活動
  • 檢測物理基礎設施、應用、網絡、數據、用戶和工作負載中的威脅
  • 檢測所有攻擊階段,無論其發生在何處以及如何傳播
  • 進行深入分析調查,識別環境中的惡意行爲者
  • 確保容器在運行時不可變
  • 使用審計日誌監控訪問

總結與結論

最低要求

  • CKA (Certified Kubernates Administrator) 認證

受衆

  • Kubernetes 從業者
 21 時間:

客戶評論 (5)

課程分類