Ich härte und sichere dein Kubernetes-Cluster und Docker-Container

Dein Cluster funktioniert. Das bedeutet nicht, dass dein Cluster sicher ist.

Kubernetes ist standardmäßig offen konfiguriert und die meisten Cluster sind nahe am Standard. Alles läuft, also schaut niemand genau hin, bis ein Kunde fragt oder ein Penetrationstest Ergebnisse liefert.

Du bist wahrscheinlich hier, weil

• Ein Kunde oder Auditor gefragt hat, wie du Workloads isolierst
• Container als root laufen, weil das die einzige Möglichkeit war, sie zu versenden
• Jeder Pod jeden anderen Pod erreichen kann und niemand das beabsichtigt hat

Was ich ändere

• RBAC vom cluster-admin auf das, was jede Workload wirklich braucht, reduziert
• Root- und privilegierte Container entfernt, Pod Security durchgesetzt
• Netzwerkregeln, damit Pods nur noch die erreichen, die sie erreichen sollen
• Secrets aus ConfigMaps, Image-Scanning beim Build

So funktioniert es

1. Du sagst mir, was du nutzt, und wir vereinbaren einen Änderungszeitraum
2. Ich setze die Änderungen schrittweise um, überprüfe jede, protokolliere jede
3. Du bekommst die Dokumentation, einen Rollback-Plan und eine Walkthrough

Auf das du dich verlassen kannst

Jede Änderung ist rückgängig machbar, in einem von dir gewählten Zeitraum, zuerst in der Staging-Umgebung getestet.

Funktioniert mit

EKS, GKE, AKS, OpenShift, selbstverwaltet, Docker, Helm, Terraform.

Härtung gegen CIS Kubernetes, NIST SP 800-190 und OWASP K8s Top 10.

Sag mir, was du nutzt, und ich sage dir, was passt.