Güvenlik · ABD (NIST)

NIST SP 800-190 (Application Container Security)

Attestkeep, cluster'ınızda admission control ve image taramasının bir dönemde kaydettiklerini 15 maddeye eşler. Kaynak: NIST SP 800-190. Bunlardan 11 tanesi bu kayıtlardan değerlendirilir; 4 tanesi kapsam dışı işaretlenir, her biri gerekçesiyle.

Hesap oluştur Bir paket nasıl hazırlanır

Framework ne istiyor

Cluster'ın cevap verebildiği 11 madde.

Madde numaraları ve başlıklar raporda basıldığı gibi, yani İngilizce. Bir maddeyi açtığınızda ne istediğini, kaynağın kendi ifadesine yakın bir dille okursunuz.

Application Container Security Guide

NIST SP 800-190

Image'lar, registry'ler, orkestratörler ve container'lar için Bölüm 3 (riskler) ve Bölüm 4 (karşı önlemler)

Madde	Başlık	Rapor bölümleri
3.1.1 / 4.1.1	Image vulnerabilities Image'lar sürekli olarak zafiyet taramasından geçirilmeli; kuruluşlar, tanımlı bir eşiğin üzerinde zafiyet taşıyan image'ların çalışmasını engelleyen araç ve süreçler benimsemelidir.	CoverageAdmission decisionsOutcomesControl statement
3.1.2 / 4.1.2	Image configuration defects Image'lar yapılandırma kusurları açısından kontrol edilmelidir; root olarak çalışmak ve container'ın dayandığı izolasyonu zayıflatan diğer ayarlar buna dahildir.	Control statementAdmission decisions
3.1.3 / 4.1.3	Embedded malware Image'lar zararlı dosyalara karşı hem imza tabanlı tespitle hem de image'ın provenance bilgisine bakılarak izlenmelidir.	CoverageSupply chainControl statement
3.1.5 / 4.1.5	Use of untrusted images Kuruluşlar güvenilir registry ve image'lardan oluşan bir set tutmalı, workload'ların başka yerden gelen image'ları çalıştırmasını engellemelidir.	Control statementSupply chainAdmission decisions
3.2.2 / 4.2.2	Stale images in registries Kuruluşlar yalnızca güncel image'ların deploy edildiğinden emin olmalıdır; örneğin image'lara, daha eski içeriğe kaydırılabilen tag'lerle değil, değişmez kimliklerle başvurarak.	Control statement
3.2.3 / 4.2.3	Insufficient authentication and authorization restrictions Registry erişimi kısıtlanmalı, image'lar yalnızca kuruluşun kontrol ettiği ya da incelediği registry'lerden çekilmelidir.	Control statement
3.3.1 / 4.3.1	Unbounded administrative access Orkestratöre yönetici erişimi en az yetki ilkesine uymalı ve mümkünse ayrı yerel hesaplar yerine kuruluşun dizinine bağlanmalıdır.	Evidence chain
3.3.2 / 4.3.2	Unauthorized access Cluster'a yalnızca yetkili workload'lar kabul edilmeli ve her admission kararı birine atfedilebilmelidir.	Control statementAdmission decisionsEvidence chain
3.4.4 / 4.4.4	App vulnerabilities Container'lar deploy edildikten sonra keşfedilen zafiyetler için izlenmeli ve bu zafiyetler tanımlı süreler içinde giderilmelidir.	CoverageControl statementAdmission decisionsIssuesBreak-glass events
4.1.1 (policy-driven enforcement)	Deviations from the control are governed Bir kontrolden geçemediği hâlde bir container'ın çalışması gerekiyorsa sapma sessizce tanınmamalı; kaydedilmeli, gerekçelendirilmeli ve süreyle sınırlanmalıdır.	Triage decisionsEvidence chain
6.4 (operations and maintenance)	The control operates continuously Yukarıdaki karşı önlemler yalnızca çalıştıkları sürece etkilidir; kullanılabilirlikleri kontrolün bir parçasıdır.	Availability

Kapsam dışı işaretlenen 4 madde ve nedenleri

Madde	Madde ve gerekçe
3.1.4 / 4.1.4	Embedded clear text secrets Bir admission controller image'ın meta verisini ve bulgularını okur, layer'larının içeriğini değil; bu operator layer içeriğinde secret taraması yapmaz ve burada böyle bir iddiada bulunulmaz.
3.3.4 / 4.3.4	Mixing of workload sensitivity levels Namespace ayrımı ve node yerleşimi cluster işletmecisinin kendi tasarımıdır; bu kontrol bir namespace'te hangi image'ların çalışabileceğini belirler, namespace'lerin birbirinden nasıl ayrıldığını değil.
3.3.5 / 4.3.5	Orchestrator node trust Node attestation ve host sıkılaştırma bir admission controller'ın görüş alanı dışındadır; bu belge neyin çalışabileceğini söyler, nerede çalışacağını değil.
3.4.1 / 4.4.1	Vulnerabilities within the runtime software Runtime host platformunun parçasıdır; bu operator kabul ettiği image'lar ve kendi kullanılabilirliği hakkında rapor verir, runtime'ın sürümü hakkında değil.

Attestkeep ne üretir

Cluster'ın zaten tuttuğu kayıtlardan kanıt.

Hiçbir şey elle doldurulmaz. Her maddenin cevabında bir durum (karşılanıyor, kısmen, eksik ya da kapsam dışı), dönemin kendi rakamlarını veren bir not ve bu rakamların geldiği rapor bölümleri yer alır.

Eşlemenin dayandığı beyanlar

Değerlendirilen her madde, dönemin kayıtlarıyla ilgili bu beyanlardan bir ya da birkaçıyla cevaplanır. Aynı soruyu her framework'te aynı beyan cevaplar; bu yüzden aynı döneme ait iki rapor birbiriyle çelişemez.

Admission uyumsuz workload'ları reddeder3 madde
Her karar ve her yönetim işlemi kaydedilir3 madde
Envanterdeki her image'ın bir tarama kaydı vardır3 madde
Yalnızca kaynağı kanıtlanmış image'lar çalışabilir2 madde
Image'lar yalnız adı belirtilen registry'lerden girebilir2 madde
Yönetici erişimi bir dizine bağlıdır1 madde
Kontrolün kendisi dönem boyunca çalıştı1 madde
Workload'lar image'ı değişebilen bir tag ile değil, digest ile belirtir1 madde
Kabul edilen risklerin adı, gerekçesi ve süresi var1 madde
Bir ret ya da kritik bir bulgu bir insana ulaşır1 madde
Her önem derecesi için bir giderme süresi tanımlıdır1 madde
Ağır bulgu taşıyan image'lar reddedilir1 madde
Workload yetkileri admission sırasında sınırlanır1 madde

Paket

Raporda neler var.

Framework hangisi olursa olsun her pakette aynı bölümler bulunur. İşaretli olanlar NIST SP 800-190 cevaplarının dayandığı bölümlerdir; her birinin yanında ona dayanan madde sayısı yazar.

Pakete dair ayrıntılar

Organisation
Framework mapping
Cluster
Control statement8
Coverage3
Vulnerability findings
Outcomes1
Admission decisions5
Supply chain2
Triage decisions1
Break-glass events1
Availability1
Evidence chain3
Deployment context
Issues1
Ledger
Population
Runtime events
Producer statements (VEX)

Kapsam

Kapsam paragrafı, raporda yazıldığı gibi.

This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto NIST SP 800-190. The guide covers images, registries, orchestrators, containers and host operating systems; this operator observes the first three at the point a workload is admitted. Runtime behaviour inside a running container, and the hardening of the hosts themselves, are outside what an admission controller can see and are marked as such rather than claimed.

Sorular

NIST SP 800-190 hakkında

Bu bir NIST SP 800-190 sertifikası mı?

Hayır. Paket, cluster'ınızın kendi kayıtlarından üretilmiş bir kanıttır. Sertifika değildir ve hiçbir denetçi onu kabul etmek zorunda değildir. Bu sayfadaki kapsam paragrafı, raporun kendisinde yer alan paragrafın aynısıdır.

Maddelerin 4 tanesi neden kapsam dışı?

Bu maddeler, tek bir cluster'ın admission ve tarama kayıtlarının gösteremeyeceği şeyleri soruyor. Rapordan çıkarılmaz, gerekçesiyle listelenir; böylece raporu okuyan kişi bu maddelerin bilerek dışarıda bırakıldığını görür.

NIST SP 800-190 hangi planda var?

Her plan bu framework'e göre rapor üretebilir. Community ve Team'de seçtiğiniz bir framework, Business'ta üç, Enterprise'da hepsi bulunur. Fiyatlar fiyat sayfasında.

Denetçi paketi nasıl kontrol eder?

Tarayıcıda, hiçbir şey yüklemeden attestkeep.com/verify.html adresinde ya da dokümantasyon sitesindeki kısa script ile. İkisi de bize ihtiyaç duymaz. Ayrıntılar Denetçiler için sayfasında.

Kendiniz kurun.

Hesap oluşturun, gönderdiğimiz kodla e-postanızı doğrulayın, Licences sayfasından ücretsiz Community anahtarını alın ve Helm ile kurun.

Hesap oluştur