Kubernetes Security im Fokus: Unsere Checkliste mit Tipps und Tricks

Kubernetes hat sich schnell als führende Plattform für die Orchestrierung containerisierter Anwendungen etabliert und verändert die Art und Weise, wie Unternehmen ihre Anwendungen entwickeln, bereitstellen und skalieren. Doch mit der weitverbreiteten Nutzung und der zunehmenden Komplexität von Kubernetes steigt auch das Risiko von Sicherheitsvorfällen. Bei ORDIX legen wir großen Wert auf die kontinuierliche Verbesserung der Sicherheit unserer eigenen Kubernetes-Infrastrukturen und der unserer Kunden. 

Warum ist Sicherheit in Kubernetes so wichtig?

Kubernetes-Cluster sind komplex und dynamisch, was sie zu einem attraktiven Ziel für Cyberangriffe macht. Ob es sich um Datendiebstahl, Dienstunterbrechungen oder die Übernahme von Ressourcen für unerwünschte Aktivitäten handelt, die Folgen eines Sicherheitsvorfalls können verheerend sein.

Einer der bekanntesten Vorfälle ereignete sich im Februar 2018 und betraf eine großangelegte Kompromittierung der Kubernetes-Cluster von Tesla durch den Zugang zu einer ungesicherten Kubernetes-Konsole. Die Angreifer:innen nutzten die exponierten Zugänge, um Kryptowährungen zu schürfen. Der Angriff wurde so gut verschleiert, dass er erst durch tiefgreifende Analysen aufgedeckt wurde. Vorfälle dieser Art verdeutlichen die Notwendigkeit einer robusten Sicherheitsstrategie für Kubernetes-Umgebungen.

Quellen:

• Golem.de - Kryptomining auf ungesicherten Tesla-Cloud-Diensten

• TeslaMag - Hacker nutzen Tesla-Cloud für Krypto-Mining

• ZDNet - Hacker nutzen Tesla-Cloudsysteme für Krypto-Mining

Häufige Sicherheitsrisiken in Kubernetes

Die Flexibilität von Kubernetes birgt auch Risiken, insbesondere wenn es um Sicherheitsaspekte geht. Zu den größten Bedrohungen zählen:

• Fehlkonfigurationen: Sie sind eine der häufigsten Ursachen für Sicherheitslücken in Kubernetes-Umgebungen.

• Insider-Bedrohungen: Mitarbeiter:innen mit Zugriffsberechtigungen können, ob absichtlich oder versehentlich, ernsthafte Sicherheitsverletzungen verursachen.

• Netzwerkschwachstellen: Unzureichend gesicherte Netzwerkkommunikation kann Angreifern Zugang verschaffen.

• Anwendungsschwachstellen: Alte oder nicht gepatchte Anwendungen können leicht von Angreifer:innen ausgenutzt werden.
  

Die zuvor genannten Fehlkonfigurationen stellen nicht nur eine häufige Bedrohung dar, sondern sind auch ein Kernpunkt der Red Hat-Studie „The State of Kubernetes Security Report 2024“. Es zeigt sich, dass 40 % der befragten Unternehmen Sicherheitsprobleme durch solche Fehlkonfigurationen in ihren Container- oder Kubernetes-Umgebungen erlebt haben. Besorgniserregend ist zudem, dass 42 % der Unternehmen angeben, nicht über die erforderlichen Fähigkeiten zur Gewährleistung der Containersicherheit zu verfügen. Diese Defizite haben bei 67 % der Befragten zu Verzögerungen in der Entwicklung geführt und bei 46 % zu Umsatzverlusten oder Kundenabwanderungen beigetragen. Diese Daten unterstreichen die dringende Notwendigkeit für einen proaktiven Sicherheitsansatz in der Verwaltung von Kubernetes-Clustern. 

Proaktive Maßnahmen zur Absicherung von Kubernetes

Als Reaktion auf diese Bedrohungen ist es entscheidend, dass wir bei ORDIX nicht nur reaktiv, sondern vor allem proaktiv handeln. Dies umfasst das regelmäßige Überprüfen und Aktualisieren von Software, die Durchsetzung von Zugriffskontrollen, umfassendes Monitoring und die Schulung unserer Kunden. 

ORDIX-Checkliste für die Sicherheit in Kubernetes

Insbesondere im Security-Umfeld ist ein strategisches Vorgehen unerlässlich. Im Folgenden stellen wir unsere Checkliste mit wichtigen Sicherheitsmaßnahmen für Kubernetes-Systeme vor. Diese Liste hilft euch dabei, potenzielle Schwachstellen zu identifizieren und abzusichern, um aktuellen und zukünftigen Bedrohungen begegnen zu können. 

Cluster- und Nodes

1. Aktualität der Kubernetes-Version: Verwendet stets unterstützte und aktuelle Versionen.

2. Betriebssystem-Härtung: Wählt ein minimales, sicherheitsorientiertes und containerspezifisches Betriebssystem für die Worker-Nodes.

3. Aktualisierung der Worker-Nodes: Haltet die Betriebssysteme eurer Nodes immer auf dem neuesten Stand.

4. Volumeverschlüsselung: Aktiviert die Verschlüsselung für alle Speichervolumes auf den Nodes, auch für die Volumes, die in Pods verwendet werden.

API-Management

5. Zentrale Authentifizierung: Implementiert robuste Authentifizierungssysteme wie OIDC oder OAuth2.

6. RBAC (Role-Based Access Control): Setzt fein granulierte Zugriffskontrollen um.

7. Audit Logs: Nutzt Audit Logs zur Protokollierung sicherheitsrelevanter Ereignisse.

8. TLS-Verschlüsselung: Sichert alle API-Kommunikationen mit TLS ab.

9. Zugriffsbegrenzung: Beschränkt den Zugriff auf die API, um unbefugte Zugriffe zu verhindern (VPN/Jumphost/IP-Whitelisting).

Netzwerk-Sicherheit

10. Netzwerk-Policies: Implementiert strikte Netzwerk-Richtlinien zur Kontrolle des Datenverkehrs.

11. TLS für interne und externe Kommunikation: Verschlüsselt den internen und externen Serviceverkehr mittels TLS.

Container- und Image-Sicherheit

12. Schlanke Container-Images: Verwendet nur notwendige Pakete in euren Container-Images und setzt auf minimale Basis-Images wie z. B. Alpine.

13. Non-Root-Prozesse: Führt Container-Anwendungen nicht als Root-Benutzer:innen aus. Seht dazu auch https://blog.ordix.de/docker-best-practice-prozess-non-root

14. Präzise Versionierung von Container-Images: Verwendet keine latest-Tags. Setzt stattdessen spezifische Tags oder Digests.

15. Authentifizierung bei Image-Registries: Stelle sicher, dass nur autorisierte Änderungen an Images vorgenommen werden können.

16. Image-Registry Benutzerverwaltung: Für jede Registry muss eine Mandantenfähigkeit gewährleistet sein.

17. Image-Registry-Sicherheit: Verwendet ausschließlich sichere und geprüfte Container-Image-Registries.

18. Überprüfung von Drittanbieter-Container-Images: Überprüft Images vor dem Einsatz auf Sicherheit.

19. Unveränderlichkeit von Containern: Gestaltet Container unveränderlich, um Integrität und Sicherheit zu gewährleisten.

20. Signierung und Validierung von Container-Images: Stellt die Authentizität von Container-Images durch Signierung und Validierung sicher.

21. Fortlaufende Aktualisierung von Container-Images und Helm-Charts: Aktualisiert kontinuierlich Container-Images und Helm-Charts, um Sicherheitslücken zu schließen. Nutzt Tools wie Renovate zur Automatisierung.

22. Container-Image Vulnerability Scans: Führt regelmäßige Sicherheitsüberprüfungen der Container-Images durch, zum Beispiel mit Tools wie Trivy.

Pod-Sicherheit

23. Security Contexts setzen: Definiert und erzwingt Sicherheitskontexte für alle Pods (z. B. runAsUser, runAsNonRoot, privileged)

24. Host-Sicherheitsmanagement für Pods: Erzwingt strikte Regeln für hostPID, hostIPC, und hostNetwork.

25. Pod Security Policies (PSP): PSP dürfen nicht mehr verwendet werden, denn sie sind seit Kubernetes Version 1.21 deprecated und wurden ab Version 1.25 komplett aus Kubernetes entfernt.

26. Pod Security Admission (PSA): PSA kann verwendet werden. Jedoch bieten die aktuellen Policy-Management-Tools wie z. B. Kyverno oder OPA/Gatekeeper elegantere und flexiblere Möglichkeiten. 

Geheimnisverwaltung

27. Einsatz von Secret-Management-Tools: Nutzt Tools wie Sealed Secrets oder HashiCorp Vault zur sicheren Speicherung, Verwaltung und Bereitstellung sensitiver Daten. Sensible Daten dürfen nicht im Klartext in YAML-Ressourcen oder in Images gespeichert werden.

Konfigurationsmanagement und Sicherheit mit GitOps

Siehe dazu auch: https://blog.ordix.de/gitops-was-ist-das-eigentlich-genau

28. GitOps verwenden/deklaratives Management: Verwaltet Konfigurationen und Anwendungen über Git.

29. Verwendung von Git als Single Source of Truth: Zentralisiert alle Konfigurationen und Anwendungsdefinitionen in einem Git-Repository zur besseren Versionierung und Nachverfolgung.

30. Synchronisation und Zustandsmanagement: Setzt Tools wie Argo CD oder Flux ein, um den Clusterzustand kontinuierlich mit dem im Git definierten Zustand abzugleichen und Abweichungen automatisch zu korrigieren.

31. Automatisierte Deployment-Pipelines: Integriert Sicherheitsprüfungen in eure CI/CD-Pipelines.

32. Sicherheit und Compliance in der Pipeline: Integriert Sicherheits- und Compliance-Überprüfungen in die CI/CD-Pipeline, um sicherzustellen, dass alle Änderungen den definierten Richtlinien entsprechen. Z. B. nach dem Image-Build erfolgt ein automatischer Vulnerability-Scan mit Trivy. Bei Critical oder High Treffern stoppt die Pipeline und informiert den Entwickler.

33. Rollenbasierte Zugriffskontrollen für Repository: Implementiert Zugriffskontrollen im Git-Repository.

34. Auditierbarkeit und Nachverfolgbarkeit: Nutzt die Git-Historie zur transparenten Dokumentation aller Änderungen für eine klare Audit-Spur sowie zur Überwachung von Konfigurationsänderungen. Verwendet keine gemeinsam genutzten Benutzer:innen oder Tokens für Git-Commits.

Ressourcenmanagement und Skalierung

35. Pod Requests und Limits für CPU und RAM: Setzt präzise CPU- und Memory-Requests und -Limits, um die Leistung zu optimieren und die Systemsicherheit zu gewährleisten.

36. Schutz vor Überlastungssituationen: Implementiert Schutzmechanismen, um Überlastsituationen zu vermeiden und die Systemverfügbarkeit zu gewährleisten.

37. Berechenbares Verhalten bei Überlastung: Stellt sicher, dass das System auf vorhersehbare Weise auf Überlastung reagiert und nicht in einen undefinierten oder potenziell gefährlichen Zustand übergeht. 

Einsatz von Produktions- und Testumgebungen

38. Testen von Updates und neuen Funktionen: Updates und neue Funktionen sollten immer erst in nicht-produktiven Umgebungen/Testumgebungen ausführlich überprüft und getestet werden, bevor sie in produktiven Umgebungen eingesetzt werden.

39. Strikte Trennung von Produktions- und Testumgebungen: Test- und Produktionsumgebungen sollten vollständig getrennt und unabhängig voneinander sein. Die Umgebungen sollten mindestens in getrennten, voneinander isolierten Netzwerkbereichen und Hosts liegen.

40. Gleichheit von Test- und Produktionsumgebungen: Um die Zuverlässigkeit der Testergebnisse zu maximieren und die Einführung von Software in die Produktionsumgebung so reibungslos wie möglich zu gestalten, ist es entscheidend, dass Test- und Produktionsumgebungen möglichst identisch gestaltet werden.

Logging, Überwachung und Compliance

41. Umfassende Überwachungsstrategie: Implementiert eine umfassende Überwachungsstrategie, die Logs, Metriken und Ereignisse (Events) von allen Teilen des Clusters erfasst.

42. Pod Probes verwenden: Pod Probes, insbesondere Liveness, Readiness und Startup Probes, sollten genutzt werden, um die Sicherheit und Stabilität der Systeme zu gewährleisten.

43. Policy-Management-Tools einsetzen: Setzt ein Policy-Management-Tool wie Kyverno oder OPA/Gatekeeper ein, um die Sicherheitsrichtlinien im Kubernetes-Cluster zu erzwingen. Alternativ kann Pod Security Admission (PSA) verwendet werden. Jedoch bieten die aktuellen Policy-Management Tools elegantere und flexiblere Möglichkeiten.

44. CIS Kubernetes Benchmark implementieren: Der Kubernetes CIS Benchmark sollte implementiert werden, um die sichere Konfiguration des Clusters sicherzustellen. Um zu Prüfen, ob die Kubernetes-Konfigurationen dem CIS Kubernetes Benchmark entsprechen, kann das z. B. das Tool Kube-Bench von Aqua Security benutzt werden.

45. Compliance-Audits: Führt regelmäßige Sicherheitsaudits durch, um die Compliance mit relevanten Standards und Richtlinien zu gewährleisten.

46. Protokollierung sicherheitsrelevanter Ereignisse: Sicherheitsrelevante Ereignisse müssen mit einem exakten Zeitstempel und einer eindeutigen Systembezeichnung protokolliert werden.

Notfallplanung und Incident Response

47. Erstellung und Test von Notfallplänen: Es sollten spezifische Notfallpläne für verschiedene Arten von Sicherheitsvorfällen entwickelt und regelmäßig getestet werden. GitOps kann dazu beitragen, einen produktiven Zustand schnell wiederherzustellen.

48. Backup-Strategien: Regelmäßiges Erstellen und Testen von Backups für persistente Daten. Backup-System sollten idealerweise von außen auf das zu sichernde System zugreifen, ohne dass das produktive System zugriff auf die Backups hat. 

Regelmäßige Sicherheitsschulungen

49. Schulung von Entwicklern und Administratoren: Regelmäßige Trainings zu den Best Practices der Sicherheit in Kubernetes, um das Bewusstsein und die Reaktionsfähigkeit auf Sicherheitsvorfälle zu verbessern. 

Unterstützung durch ORDIX

Diese Checkliste bietet eine solide Grundlage, um die Sicherheit deines Kubernetes-Clusters zu bewerten und zu verbessern. Regelmäßige Überprüfungen und Updates der einzelnen Punkte stellen sicher, dass euer System robust und sicher bleibt.

Bei ORDIX haben wir das Fachwissen und die Ressourcen, um euch bei allen Fragen rund um Kubernetes-Sicherheit zu unterstützen. Wenn ihr weitere Details benötigt oder euch Hilfe bei der Umsetzung dieser Maßnahmen wünscht, stehen euch unsere Expert:innen jederzeit zur Verfügung. Kontaktiert uns, um zu erfahren, wie wir euch helfen können, eure Kubernetes-Umgebung sicher und effizient zu gestalten. 

Seminarempfehlungen