Aynı tarayıcıyı biz de kullanıyoruz.

Trivy Operator nedir

Aqua'nın operator'ü Trivy'yi cluster içinde sürekli çalıştırır ve bulduklarını custom resource olarak yine cluster'a yazar: her workload için bir VulnerabilityReport, bunun yanında yapılandırma denetimleri, RBAC değerlendirmeleri, açıkta kalan secret kontrolleri ve SBOM'lar. Ücretsizdir, Apache-2.0 lisanslıdır, çok yaygın kurulur ve bazı açılardan bizden geniş görünür: biz RBAC denetlemiyoruz, manifest'lerde secret aramıyoruz, node'larınız için benchmark çalıştırmıyoruz.

Sorunuz "bu cluster'da ne yanlış" ise çok iyi bir cevaptır ve öğrenmenin hiçbir maliyeti yoktur.

Rapor pod'u durdurmaz

VulnerabilityReport bir kayıttır, kapı değildir. Operator bilerek admission webhook kaydetmez ve hiçbir deployment'ı reddetmez. Bir kuralı zorlamak için belgelerde gösterilen yol, öne ikinci bir araç koymaktır: bu raporları okuyan bir policy engine ya da sizin yazacağınız bir webhook. Bunun getirdiği race condition'ı da kabullenmeniz gerekir. Rapor, zaten çalışan bir pod'u anlatır.

Attestkeep işe öbür uçtan başlar. Admission, o image digest'i için önceden verilmiş kararı bulur ve aynı istek içinde cevap verir; taramayı hiçbir zaman beklemez. Image'ı hiç taranmamış bir pod da boşluk değil, policy'nin karar verdiği bir durumdur. Tarama arkada sürer: zafiyet veritabanı altı saatte bir yenilenir, her image her gün yeniden taranır, admission'dan geçmiş bir image'da yeni kritik bulgu çıkarsa bildirim gider ve kendi GitHub, GitLab ya da Jira'nızda ticket da açılabilir.

İkinci fark, geriye neyin kaldığı. Raporlar cluster kaynağı olarak durur ve cluster değiştikçe değişir; pod gidince raporu da gider. Attestkeep kararları sizin yönettiğiniz bir PostgreSQL'e, değerlendirildikleri policy'nin hash'iyle birlikte yazar. Dönem raporu daha sonra bu geçmişten üretilir.

İki farklı compliance raporu

İki üründe de compliance raporu diye bir şey var, ama farklı sorulara cevap veriyorlar. Trivy Operator'ün ClusterComplianceReport'u CIS Kubernetes Benchmark'ı, NSA'nın sıkılaştırma rehberini ve Pod Security Standards'ı kapsar. Sorduğu soru şudur: bu cluster, bir sıkılaştırma rehberinin söylediği gibi yapılandırılmış mı?

Bizimki yapılandırmayla ilgili değil, bir dönemi raporlar: admission ne gördü, neyi kabul etti, neyi neden reddetti. Bu kayıt on üç mevzuat ve kontrol setindeki 293 maddeye eşlenir; her madde kaynağıyla alıntılanır ve karşılanıyor, kısmen, eksik ya da kapsam dışı olarak işaretlenir. İşin özü dördüncü durumdadır: bir container operator'ü NIS2 Madde 21'in belki üçte birini kanıtlayabilir. Kalan üçte ikiyi sessizce kendi özellik listesine eşleyen bir rapor, hiç rapor olmamasından kötüdür. Paket cluster'ınızın içinde imzalanır ve denetçiniz onu bize sormadan doğrulayabilir.

Hangisi size gerekli

Yalnızca Trivy Operator iki durumda yeterlidir: bulguları görmek istiyor ve gereğini elle yapmayı kabul ediyorsanız, ya da asıl işiniz cluster'ın kendi yapılandırmasını sıkılaştırmaksa. Ücretsizdir ve bu işi iyi yapar.

Attestkeep, bir bulgunun cluster'ın davranışını değiştirmesi gerektiğinde ve bunun gerçekten olduğunu sonradan birine kanıtlamanız gerekecekse işe yarar. İkisi de önemliyse biri ötekini dışlamaz: RBAC ve node benchmark'ları için operator'ü tutun, sınırı admission korusun. Community Edition süresiz ücretsizdir; karşılaştırmayı bu sayfada değil, kendi cluster'ınızda yapabilirsiniz.