მთავარი დასკვნა
CWPP რეალურ ვირტუალურ მანქანებზე, კონტეინერებსა და მართვად სერვისებზე ტესტებით, საოპერაციო შეზღუდვებითა და რეაგირების პროცედურებით შეაფასეთ და არა მხოლოდ ფუნქციების სიით.
CWPP‑ის დაფარვა აქტივის ტიპით განსაზღვრეთ
CWPP სახელწოდება მომწოდებლებისა და პროდუქტების მიხედვით განსხვავებულ შესაძლებლობებს მოიცავს. ინვენტარში ცალ-ცალკე გამოყავით ვირტუალური მანქანები, ჰოსტები, კონტეინერები, Kubernetes კლასტერები, უსერვერო ფუნქციები და მართვადი სერვისები; იკითხეთ, სჭირდება თუ არა თითოეულს აგენტი, API ინტეგრაცია ან სხვა სენსორი. მართვად უსერვერო შრეზე ჰოსტის აგენტის დაყენება შეიძლება შეუძლებელი იყოს. „ყველა დატვირთვის“ მტკიცების გადასამოწმებლად წერილობით მიიღეთ მოცული სისტემები, რეგიონები და სამუშაო რეჟიმები.
იმიჯები და კონფიგურაცია შესრულებამდე განიხილეთ
აკონტროლეთ კონტეინერის იმიჯის წარმომავლობა, განახლების თარიღი, დამოკიდებულებები და აგების ცვლილებები; არასანდო ან მოძველებული კომპონენტები საწარმოო გარემოში არ დაუშვათ. შეზღუდეთ არასაჭირო პრივილეგიები, სერვისული ანგარიშების ავტომატური ტოკენები და ღია ქსელური წვდომა. Kubernetes-ში უსაფრთხოების კონტექსტები, სახელთა სივრცის საზღვრები და ქსელური პოლიტიკები კლასტერის რეალურ შესაძლებლობებს შეუსაბამეთ. სკანირების შედეგები მფლობელისა და გამოსწორების საჭიროების მქონე რისკის სიგნალებად ჩათვალეთ და არა ავტომატურ „უსაფრთხო“ ნიშნად. დაადასტურეთ ქსელური მოდულის მიერ NetworkPolicy-ის აღსრულება და გამოსცადეთ დაშვებული და აკრძალული გზები. მხოლოდ სახელთა სივრცის წევრობა ქსელური იზოლაციის გარანტიას არ იძლევა.
დაგეგმეთ შესრულების მონიტორინგი და რეაგირება
პილოტში გადაამოწმეთ, რომელ პროცესებს, ფაილებს, სისტემურ გამოძახებებსა და ქსელურ ქცევებს ხედავს პროდუქტი. შეამოწმეთ გაფრთხილების კავშირი დატვირთვის ვინაობასთან, მფლობელთან, აპლიკაციის ვერსიასა და ცვლილების ჩანაწერებთან. უსაფრთხო ტესტში შეაფასეთ ჰოსტის ან კონტეინერის იზოლაციის გავლენა აპლიკაციაზე, კლასტერის სერვისებსა და მომხმარებლებზე. ანომალიების ანალიტიკა ყველა ახალი შეტევის აღმოჩენის გარანტიას არ იძლევა; ხელმოწერები, ქცევითი ანალიზი, კონფიგურაციის შემოწმება და ინციდენტის გამოძიება ურთიერთშემავსებელ კონტროლად დაგეგმეთ.
გამოსცადეთ არსებულ ღრუბლოვან კონტროლთან ერთად
CSPM შეიძლება ღრუბლოვანი რესურსის მდგომარეობასა და კონფიგურაციაზე იყოს ორიენტირებული, CWPP კი გაშვებული დატვირთვების დაცვაზე, თუმცა პროდუქტების საზღვრები შეიძლება იკვეთებოდეს. ქვემოთ მოცემული კატეგორიები კონკრეტული პროდუქტისა და სერვისის გადამოწმების კითხვებს აყალიბებს; შესაძლებლობები ცალკე გადაამოწმეთ. გადაწყვიტეთ კონფიგურაციის, მოწყვლადობის, შესრულებისა და რეაგირების სიგნალების მფლობელი ხელსაწყო და დუბლირებული გაფრთხილებები გაზომეთ. NIST SP 800-190 კონტეინერების უსაფრთხოების ზოგადი სახელმძღვანელოა; განხორციელებისთვის მიმდინარე Kubernetes-ისა და პროვაიდერის დოკუმენტაცია გამოიყენეთ. საწარმოო გარემომდე გადაამოწმეთ წარმადობა, აგენტის სტაბილურობა, ესკალაცია და უკან დაბრუნების გეგმები.
| უსაფრთხოების კითხვა | კონტროლის ტიპური ფოკუსი | გადამოწმება |
|---|---|---|
| დაუცველი ღრუბლოვანი კონფიგურაცია | CSPM | შესაბამისი სერვისისა და წესის დაფარვა |
| დატვირთვის მოწყვლადი კომპონენტი | იმიჯისა და პაკეტის სკანირება | ინვენტარი და გამოსწორება |
| საეჭვო ქცევა შესრულებისას | CWPP და შესრულების სენსორი | მხარდაჭერილი გაშვების გარემო და უსაფრთხო აღმოჩენის ტესტი |
| ერთობლივი გამოძიება | ინტეგრირებული პლატფორმა და CNAPP პროცესი, სადაც მხარდაჭერილია | კორელაცია, ნებართვები, რეაგირება და ხარვეზები |
დანერგვის შემდეგ გაზომეთ დაფარვა და ოპერაციები
აკონტროლეთ, ერთვება თუ არა სენსორი დატვირთვის შექმნისას და ახლდება თუ არა ინვენტარი მისი წაშლისას. აღმოჩენის ტესტები ვერსიის განახლების, ავტომასშტაბირების ცვლილების ან ახალი კლასტერის შემდეგ გაიმეორეთ. მიგნებებს პრიორიტეტი ექსპლუატაციის შესაძლებლობის, სენსიტიურობისა და გარე გახსნილობის მიხედვით მიანიჭეთ, შემდეგ მფლობელი და ვადა განსაზღვრეთ; ყველა მიგნება თანაბრად გადაუდებელი არ არის. წესისა და გამონაკლისის ცვლილებები ჩანაწერით დაამტკიცეთ, რათა კონტროლი შეუმჩნევლად არ გადაიხაროს.