הגדרה של תכונות בלוח הבקרה של מצב האבטחה ב-GKE ברמת הצי

בדף הזה מוסבר איך להגדיר הגדרות ברירת מחדל ברמת הצי למרכז הבקרה של מצב האבטחה ב-Google Kubernetes Engine ‏ (GKE). בלוח הבקרה של מצב האבטחה מוצגות המלצות ממוקדות ופרקטיות לשיפור מצב האבטחה של האשכולות. אפשר להפעיל הגדרות ללוח הבקרה של מצב האבטחה ברמת הצי.

אתם יכולים ליצור הגדרות ברירת מחדל ברמת הצי ללוח הבקרה של מצב האבטחה של סריקת מצב האבטחה של Kubernetes.

הדף הזה מיועד למומחי אבטחה שרוצים להטמיע פתרונות לזיהוי נקודות חולשה בנתונים מאינטראקציה ישירה (First-Party) בצי של אשכולות. כדי לקבל מידע נוסף על תפקידים נפוצים ומשימות לדוגמה שאנחנו מתייחסים אליהם ב Google Cloud תוכן, אפשר לעיין במאמר תפקידים נפוצים של משתמשי GKE ומשימות.

לפני שקוראים את הדף הזה, חשוב לוודא שמכירים את הסקירה הכללית של בדיקת נקודות חולשה בעומסי עבודה.

כדי ללמוד איך מגדירים את ההגדרות האלה לאשכולות ספציפיים, אפשר לעיין במקורות המידע הבאים:

הגדרת ברירות מחדל ברמת הצי

בקטע הזה מוסבר איך להגדיר את התכונות של לוח הבקרה של מצב האבטחה כברירות מחדל ברמת ה-fleet. כל אשכול חדש שתרשמו ל-Fleet במהלך יצירת האשכול יכלול את תכונות מצב האבטחה שציינתם. הגדרות ברירת המחדל ברמת הצי שאתם מגדירים מקבלות עדיפות על פני כל הגדרה של מצב אבטחה ב-GKE שמוגדרת כברירת מחדל. כדי לראות את הגדרות ברירת המחדל שחלות על מהדורת GKE שלכם, אפשר לעיין בטבלה של תכונות ספציפיות לאשכול.

כדי להגדיר ברירות מחדל ברמת ה-Fleet למצב אבטחה, מבצעים את השלבים הבאים:

המסוף

  1. נכנסים לדף Feature Manager במסוף Google Cloud .

    כניסה אל Feature Manager

  2. בחלונית מצב האבטחה, לוחצים על הגדרה.

  3. בודקים את ההגדרות ברמת הצי. כל האשכולות החדשים שתרשמו ל-fleet יקבלו את ההגדרות האלה.

  4. אופציונלי: כדי לשנות את הגדרות ברירת המחדל, לוחצים על התאמה אישית של הגדרות הצי. בתיבת הדו-שיח Customize fleet default configuration שמופיעה, מבצעים את הפעולות הבאות:

    1. בקטע Configuration audit (ביקורת על ההגדרות), בוחרים אם להפעיל או להשבית את configuration auditing (ביקורת על ההגדרות).
    2. בקטע בדיקת נקודות חולשה (הוצא משימוש), בוחרים את רמת בדיקת נקודות החולשה הרצויה: מושבתת, בסיסית או מתקדמת (מומלץ).
    3. לוחצים על Save.

    אם תשביתו בהמשך את ההגדרה ברמת ה-fleet של התכונות האלה, עומסי העבודה הנוכחיים באשכולות החברים הקיימים עדיין ייסרקו, ותוכלו לראות את החששות בנוגע לאבטחה במרכז הבקרה של מצב האבטחה. עם זאת, אשכולות חדשים שתיצרו בצי לא ייסרקו כדי לזהות בעיות, אלא אם תפעילו בהם את התכונות של מצב האבטחה באופן פרטני.

  5. כדי להחיל את ההגדרה על אשכולות חדשים, לוחצים על הגדרה.

  6. בתיבת הדו-שיח לאישור, לוחצים על אישור.

  7. אופציונלי: סנכרון של אשכולות קיימים עם הגדרות ברירת המחדל:

    1. ברשימה Clusters in the fleet, בוחרים את האשכולות שרוצים לסנכרן.
    2. לוחצים על סנכרון להגדרות של כל המכשירים ואז על אישור בתיבת הדו-שיח שמופיעה. הפעולה הזו יכולה להימשך כמה דקות.

gcloud

צריך לוודא שמותקנת גרסה 455.0.0 או גרסה מתקדמת יותר של ה-CLI של gcloud.

הגדרת ברירות מחדל לצי חדש

אתם יכולים ליצור צי ריק עם התכונות שאתם רוצים להפעיל במרכז הבקרה של מצב האבטחה.

  • כדי ליצור צי עם ביקורת מופעלת על תצורת עומס העבודה, מריצים את הפקודה הבאה:

    gcloud container fleet create --security-posture standard

הגדרת ברירות מחדל לצי קיים

  • כדי להפעיל את האפשרות 'ביקורת על הגדרות עומסי עבודה' בצי קיים, מריצים את הפקודה הבאה:

    gcloud container fleet update --security-posture standard

השבתת תכונות של לוח הבקרה 'מצב האבטחה' ברמת הצי

  • כדי להשבית את ביקורת ההגדרות של עומסי העבודה, מריצים את הפקודה הבאה:

    gcloud container fleet update --security-posture disabled

  • כדי להשבית את בדיקת נקודות החולשה בעומסי עבודה, מריצים את הפקודה הבאה:

    gcloud container fleet update --workload-vulnerability-scanning disabled

אם תשביתו את ההגדרה ברמת ה-fleet של התכונות האלה, עומסי העבודה הנוכחיים באשכולות החברים הקיימים עדיין ייסרקו, ותוכלו לראות את בעיות האבטחה בלוח הבקרה של מצב האבטחה. עם זאת, אשכולות חדשים שתיצרו בצי הזה לא ייסרקו כדי לזהות בעיות, אלא אם תפעילו בהם את התכונות של מצב האבטחה באופן פרטני.

המאמרים הבאים