Attestkeep
Dil: Türkçe
Kayıt ol
Güvenlik · ABD (NIST)

NIST SP 800-53 Rev. 5 (seçili kontroller)

Attestkeep, cluster'ınızda admission control ve image taramasının bir dönemde kaydettiklerini 15 maddeye eşler. Kaynak: NIST SP 800-53 Rev. 5. Bunlardan 15 tanesi bu kayıtlardan değerlendirilir; hiçbiri kapsam dışı işaretlenmez.

Hesap oluşturBir paket nasıl hazırlanır
Framework ne istiyor

Cluster'ın cevap verebildiği 15 madde.

Madde numaraları ve başlıklar raporda basıldığı gibi, yani İngilizce. Bir maddeyi açtığınızda ne istediğini, kaynağın kendi ifadesine yakın bir dille okursunuz.

Security and Privacy Controls for Information Systems

NIST SP 800-53 Rev. 5

CM, RA, SI, SR, AU ve CP ailelerinden seçilmiş kontroller

MaddeBaşlıkRapor bölümleri
CM-2
Baseline configuration

Sistemin yapılandırma kontrolü altındaki güncel bir temel yapılandırmasını geliştirin, belgeleyin ve sürdürün.

Control statementAdmission decisions
CM-3
Configuration change control

Hangi değişiklik türlerinin yapılandırma kontrolüne tabi olduğunu belirleyip belgeleyin, önerilen değişiklikleri inceleyin ve kayıtlarını saklayın.

Triage decisionsEvidence chain
CM-7
Least functionality

Sistemi yalnızca görev için zorunlu yetenekleri sunacak şekilde yapılandırın; gerekmeyen işlevlerin, port'ların, protokollerin ve hizmetlerin kullanımını yasaklayın ya da kısıtlayın.

Control statementAdmission decisions
CM-14
Signed components

Bir yazılım ya da firmware bileşeninin tanınmış ve onaylı bir sertifikayla dijital olarak imzalandığı doğrulanmadan kurulmasını engelleyin.

Supply chainControl statementAdmission decisions
RA-5
Vulnerability monitoring and scanning

Sistemdeki ve barındırılan uygulamalardaki zafiyetleri izleyin ve tarayın, raporları analiz edin ve gerçek zafiyetleri kuruluşun belirlediği müdahale süreleri içinde giderin.

CoverageAdmission decisionsOutcomesControl statementIssues
RA-7
Risk response

Güvenlik değerlendirmelerinden, izlemeden ve denetimlerden çıkan bulgulara kuruluşun risk toleransına uygun biçimde yanıt verin.

Triage decisionsAdmission decisionsDeployment contextBreak-glass events
SI-2
Flaw remediation

Sistem kusurlarını belirleyin, bildirin ve düzeltin; güvenlikle ilgili güncellemeleri yayımlanmalarından sonraki tanımlı bir süre içinde kurun.

CoverageControl statementIssues
SI-3
Malicious code protection

Sistemin giriş ve çıkış noktalarında zararlı kod koruma mekanizmaları uygulayın ve yeni sürümler çıktıkça güncelleyin.

CoverageSupply chainControl statement
SI-7
Software, firmware and information integrity

Yazılımda, firmware'de ve bilgide yetkisiz değişiklikleri tespit etmek için bütünlük doğrulama araçları kullanın.

Supply chainControl statement
SR-3
Supply chain controls and processes

Tedarik zinciri unsurlarındaki ve süreçlerindeki zayıflıkları ya da eksiklikleri belirleyip gidermek için bir süreç kurun.

Control statementCoverage
SR-4
Provenance

Sistemlerin, bileşenlerin ve ilgili verilerin geçerli provenance bilgisini belgeleyin, izleyin ve sürdürün.

Supply chainControl statementOrganisation
SR-11
Component authenticity

Sahteciliğe karşı politika ve prosedürler geliştirip uygulayın; sahte sistem bileşenlerini tarayın.

Supply chainControl statement
AU-2
Event logging

Sistemin kaydedebildiği olay türlerini belirleyin ve kuruluşun gerekli gördüklerini kaydedin.

Evidence chain
AU-12
Audit record generation

Sistemin denetleyebildiği olay türleri için denetim kaydı üretme yeteneği sağlayın ve gerekli içeriği taşıyan kayıtlar üretin.

Evidence chainControl statementAdmission decisions
CP-2 / SI-13
Continuity of the control

Temel görev işlevlerinin sürmesini ve bunları koruyan mekanizmaların kullanılabilirliğini planlayın.

Availability
Attestkeep ne üretir

Cluster'ın zaten tuttuğu kayıtlardan kanıt.

Hiçbir şey elle doldurulmaz. Her maddenin cevabında bir durum (karşılanıyor, kısmen, eksik ya da kapsam dışı), dönemin kendi rakamlarını veren bir not ve bu rakamların geldiği rapor bölümleri yer alır.

Eşlemenin dayandığı beyanlar

Değerlendirilen her madde, dönemin kayıtlarıyla ilgili bu beyanlardan bir ya da birkaçıyla cevaplanır. Aynı soruyu her framework'te aynı beyan cevaplar; bu yüzden aynı döneme ait iki rapor birbiriyle çelişemez.

  • Yalnızca kaynağı kanıtlanmış image'lar çalışabilir5 madde
  • Envanterdeki her image'ın bir tarama kaydı vardır4 madde
  • Her karar ve her yönetim işlemi kaydedilir3 madde
  • Admission uyumsuz workload'ları reddeder2 madde
  • Workload'lar image'ı değişebilen bir tag ile değil, digest ile belirtir2 madde
  • Kabul edilen risklerin adı, gerekçesi ve süresi var2 madde
  • Image'lar yalnız adı belirtilen registry'lerden girebilir2 madde
  • Her önem derecesi için bir giderme süresi tanımlıdır2 madde
  • Workload yetkileri admission sırasında sınırlanır2 madde
  • Workload dışarıya açık ya da privileged olduğunda zafiyet eşikleri daha sıkıdır1 madde
  • Kontrolün kendisi dönem boyunca çalıştı1 madde
  • Bir ret ya da kritik bir bulgu bir insana ulaşır1 madde
  • Kontrolü işleten kuruluş bellidir1 madde
  • Kullanımdaki image'lar için SBOM tutulur1 madde
  • Ağır bulgu taşıyan image'lar reddedilir1 madde
Paket

Raporda neler var.

Framework hangisi olursa olsun her pakette aynı bölümler bulunur. İşaretli olanlar NIST SP 800-53 cevaplarının dayandığı bölümlerdir; her birinin yanında ona dayanan madde sayısı yazar.

Pakete dair ayrıntılar

  1. Organisation1
  2. Framework mapping
  3. Cluster
  4. Control statement11
  5. Coverage4
  6. Vulnerability findings
  7. Outcomes1
  8. Admission decisions6
  9. Supply chain5
  10. Triage decisions2
  11. Break-glass events1
  12. Availability1
  13. Evidence chain3
  14. Deployment context1
  15. Issues2
  16. Ledger
  17. Population
  18. Runtime events
  19. Producer statements (VEX)
Kapsam

Kapsam paragrafı, raporda yazıldığı gibi.

This document reports what one Kubernetes cluster's admission control and image scanning recorded during the period, mapped onto a selection of NIST SP 800-53 Rev. 5 controls. The catalogue is far larger than any one instrument can answer; the controls below are those where image scanning and admission enforcement are the operating mechanism — configuration management, risk assessment, system and information integrity, supply chain risk management, and the audit controls the decision record answers. Controls outside that selection are not addressed here and no inference should be drawn about them.

Sorular

NIST SP 800-53 hakkında

Bu bir NIST SP 800-53 sertifikası mı?

Hayır. Paket, cluster'ınızın kendi kayıtlarından üretilmiş bir kanıttır. Sertifika değildir ve hiçbir denetçi onu kabul etmek zorunda değildir. Bu sayfadaki kapsam paragrafı, raporun kendisinde yer alan paragrafın aynısıdır.

15 maddeden kapsam dışı olan var mı?

Hayır. Bu eşlemedeki her madde dönemin kayıtlarından değerlendirilir ve her biri cevabının geldiği rapor bölümlerini belirtir.

NIST SP 800-53 hangi planda var?

Her plan bu framework'e göre rapor üretebilir. Community ve Team'de seçtiğiniz bir framework, Business'ta üç, Enterprise'da hepsi bulunur. Fiyatlar fiyat sayfasında.

Denetçi paketi nasıl kontrol eder?

Tarayıcıda, hiçbir şey yüklemeden attestkeep.com/verify.html adresinde ya da dokümantasyon sitesindeki kısa script ile. İkisi de bize ihtiyaç duymaz. Ayrıntılar Denetçiler için sayfasında.

Kendiniz kurun.

Hesap oluşturun, gönderdiğimiz kodla e-postanızı doğrulayın, Licences sayfasından ücretsiz Community anahtarını alın ve Helm ile kurun.

Hesap oluştur