Политики контроля доступа

Развернуть всё | Свернуть всё

Политики контроля доступа определяют условия мониторинга и блокирования событий запуска, изменения и удаления объектов оркестратора. Политики контроля доступа также могут блокировать введенные пользователем команды, например, запрос на подключение к модулю через прокси-сервер API.

Политики контроля доступа проверяют операции и объекты, но не вносят в них изменения.

Kaspersky Container Security осуществляет контроль доступа на основе выбранных условий (правил). Решение применяет следующие типы правил:

• Установленные по умолчанию правила (например, наличие в образе угроз безопасности, наличие определенного уровня критичности этих угроз, наличие цифровых подписей).
• Пользовательские правила (пользователь самостоятельно указывает правила для отслеживания событий).

После аутентификации и авторизации запроса решение перехватывает запросы к API-серверу Kubernetes. Если событие удовлетворяет условиям правила, указанного в политике, в зависимости от параметров политики Kaspersky Container Security разрешает или блокирует это событие. Затем решение уведомляет об этом пользователя.

Настроенные политики контроля доступа отображаются в виде таблицы на вкладке Политики в разделе Политики → Контроль доступа. Для каждой политики в таблице приводятся следующие данные:

• Название политики контроля доступа.
• Статус политики: Выключено или Включено.
• Режим применения политики: Аудит или Блокирование.
• Список правил, примененных в политике (установленные по умолчанию и пользовательские правила).

На вкладке Политики вы можете выполнять следующие действия:

• Создавать политики. Создать политику можно с помощью кнопки Создать политику контроля доступа.

  Создание политики контроля доступа

  Для создания политики контроля доступа в Kaspersky Container Security требуются права на управление политиками контроля доступа.

  Чтобы создать политику контроля доступа:

  1. В разделе Политики → Контроль доступа выберите вкладку Политики.
  2. Нажмите на кнопку Создать политику контроля доступа.

     Откроется окно ввода параметров политики среды выполнения для контейнеров.

  3. При необходимости с помощью переключателя Выключено / Включено установите статус политики. По умолчанию политика создается в статусе Включено.
  4. Введите название политики и, если требуется, ее описание.
  5. В раскрывающемся списке Область применения выберите область применения для политики контроля доступа. Поскольку политики контроля доступа используются только в отношении развернутых и/или запускаемых контейнеров, для выбора доступны области применения, содержащие ресурсы по кластерам.

     Если вы планируете реализовывать политику с глобальной областью применения, одной из ваших ролей должны быть предоставлены права на просмотр глобальных областей применения.

  6. Если вам необходимо настроить исключения для политики контроля доступа, в блоке Исключения выполните следующие действия:
     1. Нажмите на правую кнопку мыши по ссылке Настроить критерии.
     2. В открывшейся боковой панели нажмите на кнопку Добавить критерий.
     3. Выберите тип объекта, который нужно игнорировать:
        • Пространство имен.
        • Репозиторий.
        • Реестр.
        • Образ.
        • Под.
        • Контейнер (значение по умолчанию).
     4. В расположенном рядом с типом объекта поле укажите название или адрес объекта.
     5. При необходимости добавьте поля объектов, нажав кнопку Добавить критерий.
     6. Нажмите ОК.
  7. В блоке Режим выберите один из следующих режимов применения политики:
     • Аудит. При сканировании в рамках этого режима осуществляется учет содержимого контейнеров.
     • Блокирование. В этом режиме решение блокирует операции с объектами, которые не соответствуют установленным в политике правилам.

     По умолчанию выбран режим Аудит.

     Если в области применения в отношении какого-либо объекта реализуются политика контроля доступа в режиме Аудит и политика контроля доступа в режиме Блокирование, все операции осуществляются в режиме Блокирование.

  8. На вкладке Общие правила настройте следующие параметры:
     • В блоке Проверка на соответствие лучшим практикам с помощью переключателя Выключено / Включено включите проверку на соответствие лучшим практикам обеспечения безопасности. Из списка параметров выберите параметры проверки, которые гарантируют запуск корректного образа и правильную конфигурацию параметров использования центрального процессора и оперативной памяти.
     • В блоке Предотвращение запуска контейнеров из несоответствующих требованиям образов с помощью переключателя Выключено / Включено включите блокировку запуска контейнеров из несоответствующих требованиям образов. Проверка будет выполняться только для зарегистрированных в решении и просканированных образов со статусом Соответствует.
     • В блоке Блокирование незарегистрированных образов с помощью переключателя Выключено / Включено заблокируйте развертывание образа, если образ не известен Kaspersky Container Security. Для развертывания образ требуется зарегистрировать в решении и дождаться его появления в реестре.
     • В блоке Блокирование системных функций с помощью переключателя Выключено / Включено включите блокировку использования заданных системных функций Unix. Для этого выберите из раскрывающегося списка конкретные системные функции. Вы также можете заблокировать использование всех системных функций Unix, выбрав из раскрывающегося списка ALL.
     • В блоке Защита содержания образа с помощью переключателя Выключено / Включено включите проверку цифровых подписей, которые подтверждают целостность и происхождение образов в контейнере. Для этого выполните следующие действия:
       1. В поле Шаблон URL реестра образов введите шаблон веб-адреса реестра образов, в котором требуется проводить проверку подписей.
       2. Из раскрывающегося списка выберите Проверять, чтобы активировать проверку, или Не проверять, чтобы заблокировать проверку.
       3. В раскрывающемся списке Модуль проверки подписей образов выберите один из настроенных модулей проверки подписей образов.
       4. При необходимости добавьте правила проверки подписей с помощью кнопки Добавить правило проверки подписей. Решение будет применять нескольких правил проверки подписей в рамках одной политики среды выполнения.
     • В блоке Ограничение по набору полномочий контейнера с помощью переключателя Выключено / Включено включите блокирование запуска контейнеров с определенным набором прав. Из списка параметров выберите параметры прав для блокирования параметров подов.
     • В блоке Использование разрешенных реестров с помощью переключателя Выключено / Включено установите разрешение на развертывание контейнеров в кластере только из определенных реестров. Для этого из раскрывающегося списка Реестры выберите нужные реестры.
     • В блоке Блокирование томов с помощью переключателя Выключено / Включено установите запрет на монтирование выбранных томов в контейнерах. Для этого в поле Тома укажите точки монтирования томов на хостовой системе.

       Значение в поле Тома должно начинаться с косой черты ("/"), поскольку оно представляет собой путь в операционной системе.

  9. На вкладке Пользовательские правила выполните следующие действия по добавлению пользовательских правил в политику контроля доступа:
     • Если вы хотите создать пользовательское правило, нажмите на кнопку Добавить правило и в раскрывающемся списке выберите Создать правило.

       Решение откроет боковую панель для создания пользовательского правила.

     • Если вы хотите создать пользовательское правило на основе уже существующего правила, нажмите на кнопку Добавить правило и в раскрывающемся списке выберите Копировать существующее правило.

       Решение откроет боковую панель со списком ранее созданных пользовательских правил. Вы можете выбрать правило, скопировать его параметры и добавить в создаваемую политику контроля доступа.

     • Если вы хотите выбрать существующее пользовательское правило, нажмите на кнопку Добавить правило и в раскрывающемся списке выберите Добавить существующее правило.

       Решение откроет боковую панель со списком ранее созданных пользовательских правил. Вы можете выбрать правило и добавить в создаваемую политику контроля доступа.

  10. Нажмите на кнопку Сохранить.
• Просматривать и изменять параметры политики. Изменить политику можно по ссылке с названием политики.

  Просмотр и изменение параметров политики контроля доступа

  Для изменения параметров политики контроля доступа требуются права на управление политиками контроля доступа.

  Чтобы просмотреть и изменить параметры политики контроля доступа:

  1. В разделе Политики → Контроль доступа нажмите на название политики в списке существующих политик контроля доступа.

     Откроется окно просмотра и изменения параметров политики.

  2. При необходимости внесите изменения в интересующие вас параметры политики:
     1. Включите или выключите политику с помощью переключателя Выключить / Включить.
     2. Измените название политики и ее описание.
     3. Определите одну или несколько областей применения политики.
     4. Измените параметры исключений.
     5. Переключите режим работы политики: Аудит или Блокирование.
  3. На вкладке Общие правила настройте параметры проверок и блокирования.
  4. На вкладке Пользовательские правила выполните следующие действия:
     1. Добавьте правила в политику одним следующих способов:
        • Создайте правило.
        • Скопируйте существующее правило.
        • Добавьте существующее правило.
     2. Измените значения параметров добавленных в политику правил:
        • Для изменения параметров правила нажмите на значок контекстного меню () в правиле и выберите Изменить правило.
        • Для выключения правила переведите переключатель Выключено / Включено в правиле в положение Выключено.
        • Для включения правила переведите переключатель Выключено / Включено в правиле в положение Включено.
     3. При необходимости удалите правило из политики, нажав на значок контекстного меню () в правиле и выбрав Удалить правило.
  5. Нажмите на кнопку Сохранить.
• Включать и выключать политики. Включить и выключить политику можно с помощью переключателя Выключено / Включено в столбце Статус в таблице со списком политик.
• Удалять политики.

  Удаление политики контроля доступа

  Вы можете удалять политики безопасности, если вашей учетной записи назначена хотя бы одна роль, которая была у автора политики на момент ее создания. Кроме того, для удаления вам требуются права на управление соответствующими типами политик.

  Чтобы удалить политику безопасности:

  1. Откройте список настроенных политик.
  2. С помощью флажка выберите политику, которую вы хотите удалить.
  3. Нажмите на кнопку Удалить, расположенную над таблицей со списком политик.
  4. Подтвердите удаление в открывшемся окне.

  Если в результате ошибок конфигурации политики безопасности заблокировали работоспособность Kaspersky Container Security, и вы не можете управлять решением с помощью консоли управления, политики безопасности необходимо удалить вручную.

  Чтобы удалить политику безопасности вручную и восстановить работоспособность решения:

  1. Выполните команду удаления агентов kube-agent и node-agent в следующем формате:

     kubectl delete deployment kube-agent

     kubectl delete daemonset node-agent

  2. Удалите все пользовательские ресурсы (customer resources) в целевом кластере с помощью следующей команды:

     kubectl get crd -o name | grep 'kcssecurityprofiles.securityprobe.kcs.com' | xargs kubectl delete

  3. Перезапустите все поды Kaspersky Container Security и получите доступ к консоли управления.
  4. Внесите необходимые изменения в политики безопасности.
  5. Установите агентов с использованием инструкции в формате YAML.

• Выполнять поиск политик. Для поиска политики в поле Поиск нужно указать либо название политики или его часть, либо название правила из политики.
• Сортировать политики по названию, статусу и режиму.

Пользовательские правила отображаются в виде таблицы на вкладке Пользовательские правила в разделе Политики → Контроль доступа. Пользовательское правило – это набор критериев, которые указываются в политике контроля доступа и определяют действия для проверки операций с ресурсами Kubernetes. Пользовательское правило создается на языке CEL. С помощью пользовательского правила решение проверяет значения параметров внутри объекта AdmissionReview, который перехватывается вебхуком. Для каждого правила в таблице приводятся следующие данные:

• Название правила.
• Операция с объектом Kubernetes, которую отслеживает решение (создание, обновление или удаление).
• Тип отслеживаемого объекта Kubernetes (например, Pod, Service или Namespace).
• Список политик контроля доступа, в которые добавлено правило.

На вкладке Пользовательские правила вы можете выполнять следующие действия:

• Создавать пользовательские правила. Создать правило можно с помощью кнопки Создать правило над списком.

  Создание пользовательского правила

  Для создания пользовательского правила в Kaspersky Container Security требуются права на управление параметрами политики контроля доступа.

  Чтобы создать пользовательское правило:

  1. В разделе Политики → Контроль доступа → Пользовательские правила нажмите на кнопку Создать правило.

     Откроется окно ввода параметров правила.

  2. Укажите название правила.

     Максимальная длина названия правила составляет 254 символов.

  3. При необходимости укажите описание правила.
  4. В раскрывающемся списке Операция выберите операцию с объектом, которую нужно отслеживать. Вы можете выбрать одну из следующих операций:
     • Создание.
     • Обновление.
     • Удаление.

     Вы можете выбрать одну или несколько операций для отслеживания.

  5. В раскрывающемся списке Тип объекта выберите объект Kubernetes, который нужно отслеживать. Вы можете выбрать один из следующих типов объектов:
     • Pod.
     • Service.
     • Ingress.
     • IngressClass.
     • NetworkPolicy.
     • Role.
     • ClusterRole.
     • RoleBinding.
     • ClusterRoleBinding.
     • ServiceAccount.
     • CertificateSigningRequests.

     Вы можете выбрать один или несколько типов объектов для отслеживания.

  6. В поле Правило CEL задайте правило с помощью выражений CEL. Вы можете открыть информацию о создании пользовательских правил с применением языка CEL в отдельной вкладке браузера, нажав на значок книги () сверху формы создания правила.

     Шаблоны входных данных для проверки при помощи языка CEL приводятся в Приложении.

     При необходимости в отдельной вкладке браузера вы можете открыть пример структуры правила в формате JSON.

  7. Нажмите на кнопку Сохранить.

  Вы также можете создать пользовательское правило при создании политики контроля доступа или изменении ее параметров.

• Создавать пользовательские правила, полностью скопировав параметры существующих правил.

  Копирование пользовательского правила

  Чтобы создать копию пользовательского правила:

  1. В таблице со списком пользовательских правил в разделе Политики → Контроль доступа → Пользовательские правила с помощью флажка выберите правило, которое вы хотите скопировать.

     Вы можете выбрать одно или несколько правил.

  2. Нажмите на кнопку Копировать, расположенную над таблицей.

     Решение создаст правило, скопировав в него все параметры выбранного вами пользовательского правила. Если вы копируете правило, новое правило получает такое же название, как и исходное правило, но к нему добавляется (copy). Например, если вы дублируете параметры пользовательского правила с названием Example_rule, новое правило будет называться Example_rule (copy).

  Созданные дубликаты пользовательских правил не привязываются к политикам, даже если исходное правило добавлено в них. При необходимости вам нужно отдельно добавить созданные копии пользовательских правил в политики контроля доступа.

• Просматривать и изменять параметры пользовательского правила. Изменить правило можно по ссылке с названием правила.

  Просмотр и изменение параметров пользовательского правила

  Чтобы просмотреть параметры пользовательского правила:

  1. Перейдите в раздел Политики → Контроль доступа → Пользовательские правила.
  2. В таблице со списком правил нажмите на название правила, свойства которого вы хотите открыть для просмотреть.

     В открывшемся окне решение отображает следующие параметры правила:

     • Название правила.
     • Список политик контроля доступа, в которых это правило используется.
     • Описание правила (при наличии).
     • Отслеживаемая операция.
     • Отслеживаемый тип объекта Kubernetes.
     • Выражения на языке CEL, которые составляют правило.

  Чтобы внести изменения в параметры пользовательского правила:

  1. Перейдите в раздел Политики → Контроль доступа → Пользовательские правила.
  2. В таблице со списком правил нажмите на название правила, которое вы хотите изменить.

     Откроется окно просмотра и изменения параметров правила.

  3. При необходимости измените следующие параметры правила:
     • Название правила.
     • Описание правила.
     • Операция, которую необходимо отслеживать.
     • Тип объекта Kubernetes, который необходимо отслеживать.
     • Выражения на языке CEL, которые составляют правило.
  4. Нажмите на кнопку Сохранить.

  Вы также можете изменить пользовательское правило при изменении параметров политики контроля доступа.

• Удалять пользовательские правила.

  Удаление пользовательского правила

  Чтобы удалить пользовательское правило:

  1. В таблице со списком пользовательских правил в разделе Политики → Контроль доступа → Пользовательские правила с помощью флажка выберите правило, которое вы хотите удалить.

     Вы можете выбрать одно или несколько правил.

  2. Нажмите на кнопку Удалить, расположенную над таблицей.

     Отобразится окно подтверждения удаления с указанием всех политик контроля доступа, в которые добавлено правило (если такие имеются).

  3. Подтвердите удаление правила, нажав Удалить.

     После подтверждения удаления пользовательское правило удаляется из всех политик, в которые оно было добавлено.

• Выполнять поиск правил. Для поиска нужно указать название правила или его часть в поле Поиск.
• Сортировать правила по названию.