Sicherheit · USA (NIST)

NIST SP 800-53 Rev. 5 (ausgewählte Kontrollen)

Was Admission Control und Image-Scan Ihres Clusters in einem Zeitraum erfasst haben, ordnet Attestkeep 15 Anforderungen zu (Quelle: NIST SP 800-53 Rev. 5). 15 davon werden aus diesen Einträgen bewertet; keine liegt außerhalb des Umfangs.

Konto anlegen Wie ein Paket entsteht

Was das Framework verlangt

15 Anforderungen aus Clustersicht.

Fundstellen und Titel so, wie der Bericht sie druckt, also auf Englisch. Öffnen Sie eine Anforderung, um zu lesen, was sie verlangt – nah am Wortlaut des Regelwerks wiedergegeben.

Security and Privacy Controls for Information Systems

NIST SP 800-53 Rev. 5

Ausgewählte Controls aus CM, RA, SI, SR, AU und CP

Fundstelle	Anforderung	Berichtsabschnitte
CM-2	Baseline configuration Eine aktuelle Basiskonfiguration des Systems unter Konfigurationskontrolle entwickeln, dokumentieren und pflegen.	Control statementAdmission decisions
CM-3	Configuration change control Festlegen und dokumentieren, welche Arten von Änderungen der Konfigurationskontrolle unterliegen, vorgeschlagene Änderungen prüfen und Aufzeichnungen darüber aufbewahren.	Triage decisionsEvidence chain
CM-7	Least functionality Das System so konfigurieren, dass es nur die für den Auftrag wesentlichen Fähigkeiten bietet, und nicht benötigte Funktionen, Ports, Protokolle und Dienste verbieten oder einschränken.	Control statementAdmission decisions
CM-14	Signed components Die Installation von Software- und Firmware-Komponenten verhindern, solange nicht geprüft ist, dass die Komponente mit einem anerkannten und genehmigten Zertifikat digital signiert wurde.	Supply chainControl statementAdmission decisions
RA-5	Vulnerability monitoring and scanning System und gehostete Anwendungen auf Schwachstellen überwachen und scannen, die Berichte auswerten und berechtigte Schwachstellen innerhalb der von der Organisation festgelegten Reaktionszeiten beheben.	CoverageAdmission decisionsOutcomesControl statementIssues
RA-7	Risk response Auf Ergebnisse aus Sicherheitsbewertungen, Überwachung und Audits entsprechend der Risikotoleranz der Organisation reagieren.	Triage decisionsAdmission decisionsDeployment contextBreak-glass events
SI-2	Flaw remediation Systemmängel erkennen, melden und beheben und sicherheitsrelevante Updates innerhalb eines festgelegten Zeitraums nach ihrer Veröffentlichung installieren.	CoverageControl statementIssues
SI-3	Malicious code protection Schutzmechanismen gegen Schadcode an den Ein- und Ausgangspunkten des Systems einsetzen und sie aktualisieren, sobald neue Versionen verfügbar sind.	CoverageSupply chainControl statement
SI-7	Software, firmware and information integrity Werkzeuge zur Integritätsprüfung einsetzen, um unbefugte Änderungen an Software, Firmware und Informationen zu erkennen.	Supply chainControl statement
SR-3	Supply chain controls and processes Einen Prozess einrichten, um Schwächen oder Mängel in den Elementen und Prozessen der Lieferkette zu erkennen und zu beheben.	Control statementCoverage
SR-4	Provenance Eine gültige Herkunft von Systemen, Komponenten und zugehörigen Daten dokumentieren, überwachen und pflegen.	Supply chainControl statementOrganisation
SR-11	Component authenticity Richtlinien und Verfahren gegen Fälschungen entwickeln und umsetzen und nach gefälschten Systemkomponenten suchen.	Supply chainControl statement
AU-2	Event logging Die Ereignistypen bestimmen, die das System protokollieren kann, und diejenigen protokollieren, die die Organisation für notwendig hält.	Evidence chain
AU-12	Audit record generation Für die auditierbaren Ereignistypen die Erzeugung von Audit-Einträgen ermöglichen und Einträge mit dem geforderten Inhalt erzeugen.	Evidence chainControl statementAdmission decisions
CP-2 / SI-13	Continuity of the control Den fortgesetzten Betrieb wesentlicher Auftragsfunktionen und die Verfügbarkeit der Mechanismen planen, die sie schützen.	Availability

Was Attestkeep erzeugt

Nachweise aus Einträgen, die der Cluster ohnehin führt.

Nichts wird von Hand ausgefüllt. Jede Antwort zu einer Anforderung trägt einen Status (erfüllt, teilweise, Lücke oder außerhalb des Umfangs), eine Notiz mit den Zahlen des Zeitraums und die Berichtsabschnitte, aus denen diese Zahlen stammen.

Worauf sich das Mapping stützt

Jede bewertete Anforderung wird durch eine oder mehrere dieser Aussagen über die Einträge des Zeitraums beantwortet. Dieselbe Aussage beantwortet dieselbe Frage in jedem Framework; zwei Berichte über denselben Zeitraum können sich daher nicht widersprechen.

Nur Images mit nachgewiesener Herkunft dürfen laufen5 Anforderungen
Jedes Image im Bestand hat einen Scan-Eintrag4 Anforderungen
Jede Entscheidung und jede administrative Aktion wird festgehalten3 Anforderungen
Admission lehnt nicht konforme Workloads ab2 Anforderungen
Workloads referenzieren Images per Digest, nicht per verschiebbarem Tag2 Anforderungen
Akzeptierte Risiken sind benannt, begründet und laufen ab2 Anforderungen
Images kommen nur aus benannten Registries2 Anforderungen
Für jeden Schweregrad ist ein Behebungsfenster festgelegt2 Anforderungen
Workload-Privilegien werden bei der Admission begrenzt2 Anforderungen
Schwellenwerte für Schwachstellen sind strenger, wo der Workload exponiert oder privilegiert ist1 Anforderung
Die Kontrolle selbst lief den ganzen Zeitraum1 Anforderung
Eine Ablehnung oder ein kritischer Befund erreicht eine Person1 Anforderung
Die Organisation, die die Kontrolle betreibt, ist benannt1 Anforderung
Für die laufenden Images liegt ein SBOM vor1 Anforderung
Images mit schweren Befunden werden abgelehnt1 Anforderung

Das Paket

Was der Bericht enthält.

Jedes Paket enthält dieselben Abschnitte, unabhängig vom Framework. Markiert sind die, auf die sich die Antworten zu NIST SP 800-53 stützen, jeweils mit der Zahl der Anforderungen, die auf sie verweisen.

Mehr zum Paket

Organisation1
Framework mapping
Cluster
Control statement11
Coverage4
Vulnerability findings
Outcomes1
Admission decisions6
Supply chain5
Triage decisions2
Break-glass events1
Availability1
Evidence chain3
Deployment context1
Issues2
Ledger
Population
Runtime events
Producer statements (VEX)

Umfang

Geltungsbereich, wörtlich aus dem Bericht (Englisch).

This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto a selection of NIST SP 800-53 Rev. 5 controls. The catalogue is far larger than any one instrument can answer; the controls below are those where image scanning and admission enforcement are the operating mechanism — configuration management, risk assessment, system and information integrity, supply chain risk management, and the audit controls the decision record answers. Controls outside that selection are not addressed here and no inference should be drawn about them.

Fragen

Fragen zu NIST SP 800-53

Ist das eine Zertifizierung nach NIST SP 800-53?

Nein. Das Paket ist ein Nachweis aus den clustereigenen Einträgen. Es ist keine Zertifizierung, und kein Auditor muss es anerkennen. Der Absatz zum Geltungsbereich auf dieser Seite ist derselbe, den auch der Bericht enthält.

Liegt eine der 15 Anforderungen außerhalb des Umfangs?

Nein. Jede Anforderung dieses Mappings wird aus den Einträgen des Zeitraums bewertet, und jede nennt die Berichtsabschnitte, aus denen ihre Antwort stammt.

Welcher Plan enthält NIST SP 800-53?

Jeder Plan kann danach berichten. Community und Team enthalten 1 Framework Ihrer Wahl, Business 3, Enterprise alle. Die Preise stehen auf der Preisseite.

Wie prüft ein Auditor das Paket?

Im Browser unter attestkeep.com/verify.html, wo nichts hochgeladen wird, oder mit dem kurzen Skript auf der Dokumentationsseite. Beides kommt ohne uns aus. Einzelheiten stehen unter Für Auditoren.

Selbst installieren.

Konto anlegen, die E-Mail mit dem zugesandten Code bestätigen, den kostenlosen Community-Schlüssel auf der Seite Licences holen und mit Helm installieren.

Konto anlegen