Pengukuhan Keselamatan Platform Ops/SRE: Dari Keselamatan Pod ke Perlindungan Runtime

Senario

Pasukan SRE sebuah syarikat fintech mengesan kontena mencurigakan cuba membaca /etc/shadow dari hos. Kontena berjalan dalam ruang nama lalai tanpa konteks keselamatan.

Gejala

• Log audit menunjukkan cubaan baca fail gagal berulang kali
• Kontena berjalan sebagai root
• Tiada Dasar Rangkaian menyekat trafik keluar

Diagnosis

# Periksa konteks keselamatan Pod
kubectl get pod <nama-pod> -o jsonpath='{.spec.containers[*].securityContext}'

# Senarai PodSecurityPolicy atau konfigurasi Pod Security Admission
kubectl get psp
kubectl get podsecurityadmissionconfiguration

# Periksa Dasar Rangkaian
kubectl get networkpolicy -A

Arahan (Langkah Pengukuhan)

1. Guna Piawaian Keselamatan Pod (garis dasar)

kubectl label ns default pod-security.kubernetes.io/enforce=baseline

1. Cipta RBAC dengan hak minimum

kubectl create clusterrole app-reader --verb=get,list --resource=pods
kubectl create rolebinding app-reader --clusterrole=app-reader --serviceaccount=default:default

1. Laksana Dasar Rangkaian sekatan keluar

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all-egress
  namespace: default
spec:
  podSelector: {}
  policyTypes:
  - Egress

1. Pasang Falco untuk keselamatan runtime

helm repo add falcosecurity https://falcosecurity.github.io/charts
helm install falco falcosecurity/falco -n falco-system --create-namespace

Kawalan Risiko

• Uji pada ruang nama tidak kritikal dahulu
• Sahkan Dasar Rangkaian sebelum guna ke pengeluaran
• Pantau amaran Falco dan sedia notifikasi

Pemulihan

kubectl label ns default pod-security.kubernetes.io/enforce-
kubectl delete clusterrole app-reader
kubectl delete rolebinding app-reader
kubectl delete networkpolicy deny-all-egress
helm delete falco -n falco-system

Pengesahan

# Sahkan pelaksanaan bukan-root
kubectl run test --image=busybox -- sh -c 'id'
# Periksa label keselamatan Pod
kubectl get ns default -o yaml | grep pod-security
# Uji Dasar Rangkaian
kubectl run test2 --image=busybox -- sh -c 'wget http://evil.com'
# Lihat amaran Falco
kubectl logs -n falco-system -l app=falco

Bila Serahkan Tiket OpsGlobal

• Pengukuhan menyebabkan gangguan perkhidmatan dan pemulihan gagal
• Perlu reka bentuk dasar keselamatan seragam merentas kluster
• Disyaki pelarian kontena atau kerentanan hari sifar
• Audit pematuhan (contoh: PCI-DSS) memerlukan pengesahan pakar

Sediakan akses kubectl kluster dan log keselamatan sedia ada; OpsGlobal merespon dalam 15 minit.