Должен ли я добавить DMZ перед Kubernetes? - PullRequest
Новая
       66

Должен ли я добавить DMZ перед Kubernetes?

0 голосов
/ 12 октября 2018

Достаточно ли безопасен Kubernetes Ingress, чтобы избежать добавления DMZ перед Kubernetes для демонстрации модулей и служб?Что произойдет, если кто-то «взломает» стручок?

Спасибо.

Ответы [ 2 ]

0 голосов
/ 12 октября 2018

Это вопрос мнения, поэтому я отвечу с опцией.

Это очень безопасно, если вы будете следовать стандартным правилам безопасности для своего кластера.Но ничто не на 100% безопасно.Таким образом, добавление DMZ поможет уменьшить ваши векторы атаки.

С точки зрения защиты вашего Ingress извне, вы можете ограничить свой доступ к внешнему балансировщику нагрузки только HTTPS, и большинство людей делают это, но учтите, что HTTPS и само ваше приложение также могут иметь уязвимости.

Что касается ваших модулей и рабочих нагрузок, вы можете повысить безопасность (при некоторых затратах производительности), используя такие вещи, как хорошо продуманный профиль seccomp и / или добавив правильные возможности в свой модуль.контекст безопасности.Вы также можете повысить безопасность с помощью AppArmor или SELinux , но многие люди этого не делают, поскольку это может стать очень сложным.

Есть и другие альтернативы Docker.чтобы упростить песочницу ваших контейнеров (все еще в начале их жизненного цикла на момент написания этой статьи): Контейнеры Kata , Контейнеры Nabla и gVisor .

0 голосов
/ 12 октября 2018

Это довольно открытый вопрос.Я думаю, что в Google Cloud Ingress - это обычно Google Cloud Load Balancer.Предположительно, облачный балансировщик нагрузки будет очень безопасным по сравнению с DMZ, которой вы управляете.Вход k8s также обычно ограничивается трафиком HTTP, поэтому для «взлома» через вход, вероятно, потребуется использовать уязвимость уровня приложения.Это во многом зависит от вашей конкретной настройки.

С точки зрения безопасности модуля, получение доступа к выполнению в модуле будет плохим.Докер не является надежно защищенным и не имеет много места в песочнице.Опять же, это зависит от вашей настройки, но в качестве ясной аналогии: Pod k8s не рекомендуется для запуска ненадежного кода.

...