Usa restricciones de la política de MITRE
El controlador de políticas viene con una biblioteca predeterminada de plantillas de restricciones que se pueden usar con el paquete de políticas de MITRE para evaluar el cumplimiento de los recursos del clúster con respecto a algunos aspectos de la base de conocimiento de MITRE de las tácticas y técnicas del adversario basadas en observaciones del mundo real.
Restricciones del paquete de políticas de MITRE
Nombre de la restricción | Descripción de la restricción |
---|---|
mire-v2024-apparmor | Restringe el perfil AppArmor para los Pods.
|
mitre-v2024-block-all-ingress | Restringe la creación de objetos Ingress. |
mitre-v2024-cronjob-restrict-repos | Restringe las imágenes de contenedor para CronJob a una lista de “repositorios”.
|
mitre-v2024-no-anonymous | No se pueden asociar los recursos ClusterRole y Role al usuario system:anonymous y al grupo system:unauthenticated .
|
mitre-v2024-host-namespaces-host-pid-ipc | Los contenedores no se pueden ejecutar con hostPID o hostIPC configurados como true .
|
mitre-v2024-host-namespaces-hostnetwork | Los contenedores no se pueden ejecutar con hostNetwork establecido en true .
|
mitre-v2024-host-ports | No se debe rechazar HostPorts o, como mínimo, se debe restringir a una lista conocida.
|
mitre-v2024-no-secrets-as-env-vars | Restringe el uso de Secrets como variables de entorno en definiciones de contenedores. |
mitre-v2024-privileged-containers | Restringe los contenedores con securityContext.privileged establecido en true .
|
mitre-v2024-proc-mount-type | Las máscaras /proc predeterminadas reducen la superficie de ataque y son obligatorias.
|
mitre-v2024-require-binauthz | Requiere el webhook de admisión de validación de autorización binaria. |
mitre-v2024-require-namespace-networkpolicy | Requiere que cada espacio de nombres definido en el clúster tenga una NetworkPolicy. |
mitre-v2024-restrict-admission-controller | Restringe el uso de webhooks y controladores de admisión dinámicos. |
mitre-v2024-restrict-automountserviceaccounttoken | Restringe el uso de tokens de cuentas de servicio. |
mitre-v2024-restrict-capabilities | No se permite agregar capacidades que no sean las enumeradas. |
mitre-v2024-restrict-cluster-admin-role | Restringe el uso de la función cluster-admin .
|
mitre-v2024-restrict-hostpath-volumes | Restringe el uso de volúmenes HostPath .
|
mitre-v2024-restrict-kubernetes-dashboard-namespace | Restringe el uso del espacio de nombres kubernetes-dashboard .
|
mitre-v2024-restrict-pods-exec | Restringe el uso de pods/exec en Roles y ClusterRoles .
|
mitre-v2024-restrict-rbac-subjects | Restringe el uso de nombres en sujetos de RBAC a los valores permitidos. |
mitre-v2024-restrict-repos | Restringe las imágenes de contenedor a una lista repos permitida.
|
mitre-v2024-restrict-role-secrets | Restringe el uso de secretos en Roles y ClusterRoles .
|
mitre-v2024-restrict-windows-hostprocess | Restringe la ejecución de los contenedores o Pods de HostProcess de Windows |
mire-v2024-seccomp | El perfil de Seccomp no se debe establecer en Unconfined .
|
mire-v2024-selinux | No se puede establecer el tipo de SELinux ni establecer una opción de rol o usuario de SELinux personalizado. |
mitre-v2024-sysctls | Los contenedores solo pueden establecer sysctls que se enumeran en el campo allowedSysctls .
|
Antes de comenzar
- Instala y, luego, inicializa
Google Cloud CLI,
que proporciona los comandos
gcloud
ykubectl
que se usan en estas instrucciones. Si usas Cloud Shell, Google Cloud CLI viene preinstalada. - Instala el controlador de políticas v1.17.2 o una versión posterior en tu clúster con la biblioteca predeterminada de plantillas de restricción. También debes habilitar la compatibilidad con las restricciones referenciales, ya que este paquete contiene restricciones referenciales.
Configura el controlador de políticas para restricciones referenciales
Guarda el siguiente manifiesto YAML en un archivo como
policycontroller-config.yaml
. El manifiesto configura Policy Controller para observar tipos específicos de objetos.apiVersion: config.gatekeeper.sh/v1alpha1 kind: Config metadata: name: config namespace: "gatekeeper-system" spec: sync: syncOnly: - group: "networking.k8s.io" version: "v1" kind: "NetworkPolicy" - group: "admissionregistration.k8s.io" version: "v1" kind: "ValidatingWebhookConfiguration"
Aplica el manifiesto
policycontroller-config.yaml
:kubectl apply -f policycontroller-config.yaml
Audita el paquete de políticas de MITRE
El Controlador de políticas te permite aplicar políticas a tu clúster de Kubernetes. Para ayudar a probar las cargas de trabajo y su cumplimiento con respecto a las políticas de MITRE descritas en la tabla anterior, puedes implementar estas restricciones en modo de “auditoría” para revelar incumplimientos y, lo que es más importante, darte la oportunidad de corregirlos antes de aplicarlas en tu clúster de Kubernetes.
Puedes aplicar estas políticas con spec.enforcementAction
configurado como dryrun
mediante kubectl, kpt o el Sincronizador de configuración.
kubectl
Obtén una vista previa de las restricciones de la política con kubectl (opcional):
kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024
Aplica las restricciones de la política con kubectl:
kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024
Esta es la salida:
k8sallowedrepos.constraints.gatekeeper.sh/mitre-v2024-restrict-repos created k8sblockallingress.constraints.gatekeeper.sh/mitre-v2024-block-all-ingress created k8scronjoballowedrepos.constraints.gatekeeper.sh/mitre-v2024-cronjob-restrict-repos created k8sdisallowanonymous.constraints.gatekeeper.sh/mitre-v2024-no-anonymous created k8snoenvvarsecrets.constraints.gatekeeper.sh/mitre-v2024-no-secrets-as-env-vars created k8spspapparmor.constraints.gatekeeper.sh/mitre-v2024-apparmor created k8spspcapabilities.constraints.gatekeeper.sh/mitre-v2024-restrict-capabilities created k8spspforbiddensysctls.constraints.gatekeeper.sh/mitre-v2024-sysctls created k8spsphostfilesystem.constraints.gatekeeper.sh/mitre-v2024-restrict-hostpath-volumes created k8spsphostnamespace.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-host-pid-ipc created k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-hostnetwork created k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-ports created k8spspprivilegedcontainer.constraints.gatekeeper.sh/mitre-v2024-privileged-containers created k8spspprocmount.constraints.gatekeeper.sh/mitre-v2024-proc-mount-type created k8spspselinuxv2.constraints.gatekeeper.sh/mitre-v2024-selinux created k8spspseccomp.constraints.gatekeeper.sh/mitre-v2024-seccomp created k8spspwindowshostprocess.constraints.gatekeeper.sh/mitre-v2024-restrict-windows-hostprocess created k8srequirebinauthz.constraints.gatekeeper.sh/mitre-v2024-require-binauthz created k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/mitre-v2024-require-namespace-networkpolicy created k8srestrictadmissioncontroller.constraints.gatekeeper.sh/mitre-v2024-restrict-admission-controller created k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/mitre-v2024-restrict-automountserviceaccounttoken created k8srestrictnamespaces.constraints.gatekeeper.sh/mitre-v2024-restrict-kubernetes-dashboard-namespace created k8srestrictrbacsubjects.constraints.gatekeeper.sh/mitre-v2024-restrict-rbac-subjects created k8srestrictrolebindings.constraints.gatekeeper.sh/mitre-v2024-restrict-cluster-admin-role created k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-pods-exec created k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-role-secrets created
Verifica que se hayan instalado las restricciones de políticas y verifica si las infracciones existen en el clúster:
kubectl get constraints -l policycontroller.gke.io/bundleName=mitre-v2024
El resultado es similar al siguiente:
NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sallowedrepos.constraints.gatekeeper.sh/mitre-v2024-restrict-repos dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockallingress.constraints.gatekeeper.sh/mitre-v2024-block-all-ingress dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8scronjoballowedrepos.constraints.gatekeeper.sh/mitre-v2024-cronjob-restrict-repos dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sdisallowanonymous.constraints.gatekeeper.sh/mitre-v2024-no-anonymous dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8snoenvvarsecrets.constraints.gatekeeper.sh/mitre-v2024-no-secrets-as-env-vars dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspapparmor.constraints.gatekeeper.sh/mitre-v2024-apparmor dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspcapabilities.constraints.gatekeeper.sh/mitre-v2024-restrict-capabilities dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspforbiddensysctls.constraints.gatekeeper.sh/mitre-v2024-sysctls dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostfilesystem.constraints.gatekeeper.sh/mitre-v2024-restrict-hostpath-volumes dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostnamespace.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-host-pid-ipc dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-hostnetwork dryrun 0 k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-ports dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspprivilegedcontainer.constraints.gatekeeper.sh/mitre-v2024-privileged-containers dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspprocmount.constraints.gatekeeper.sh/mitre-v2024-proc-mount-type dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspseccomp.constraints.gatekeeper.sh/mitre-v2024-seccomp dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspselinuxv2.constraints.gatekeeper.sh/mitre-v2024-selinux dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspwindowshostprocess.constraints.gatekeeper.sh/mitre-v2024-restrict-windows-hostprocess dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirebinauthz.constraints.gatekeeper.sh/mitre-v2024-require-binauthz dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/mitre-v2024-require-namespace-networkpolicy dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictadmissioncontroller.constraints.gatekeeper.sh/mitre-v2024-restrict-admission-controller dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/mitre-v2024-restrict-automountserviceaccounttoken dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictnamespaces.constraints.gatekeeper.sh/mitre-v2024-restrict-kubernetes-dashboard-namespace dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrbacsubjects.constraints.gatekeeper.sh/mitre-v2024-restrict-rbac-subjects dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrolebindings.constraints.gatekeeper.sh/mitre-v2024-restrict-cluster-admin-role dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-pods-exec dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-role-secrets dryrun 0
kpt
Instala y configura kpt. En estas instrucciones, se usa kpt para personalizar e implementar los recursos de Kubernetes.
Descarga el paquete de políticas de MITRE desde GitHub con kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024
Ejecuta la función kpt
set-enforcement-action
para establecer la acción de aplicación de las políticas endryrun
:kpt fn eval mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \ -- enforcementAction=dryrun
Inicializa el directorio de trabajo con kpt, que crea un recurso para realizar un seguimiento de los cambios:
cd mitre-v2024 kpt live init
Aplica las restricciones de políticas con kpt:
kpt live apply
Verifica que se hayan instalado las restricciones de políticas y verifica si las infracciones existen en el clúster:
kpt live status --output table --poll-until current
Un estado
CURRENT
confirma que la instalación de las restricciones se realizó de forma correcta.
Sincronizador de configuración
- Instala y configura kpt. En estas instrucciones, se usa kpt para personalizar e implementar los recursos de Kubernetes.
Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:
Cambia al directorio del Sincronizador de configuración:
cd SYNC_ROOT_DIR
Para crear o adjuntar
.gitignore
conresourcegroup.yaml
, haz lo siguiente:echo resourcegroup.yaml >> .gitignore
Crea un directorio
policies
dedicado:mkdir -p policies
Descarga el paquete de políticas de MITRE desde GitHub con kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024 policies/mitre-v2024
Ejecuta la función kpt
set-enforcement-action
para establecer la acción de aplicación de las políticas endryrun
:kpt fn eval policies/mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
(Opcional) Obtén una vista previa de las restricciones de la política que se crearán:
kpt live init policies/mitre-v2024 kpt live apply --dry-run policies/mitre-v2024
Si el directorio de sincronización del Sincronizador de configuración usa Kustomize, agrega
policies/mitre-v2024
a la raízkustomization.yaml
. De lo contrario, quita el archivopolicies/mitre-v2024/kustomization.yaml
:rm SYNC_ROOT_DIR/policies/mitre-v2024/kustomization.yaml
Envía cambios al repositorio del Sincronizador de configuración:
git add SYNC_ROOT_DIR/policies/mitre-v2024 git commit -m 'Adding MITRE policy audit enforcement' git push
Verifica el estado de la instalación:
watch gcloud beta container fleet config-management status --project PROJECT_ID
Un estado de
SYNCED
confirma la instalación de las políticas.
Visualiza incumplimientos de políticas
Una vez que se instalan las restricciones de políticas en el modo de auditoría, los incumplimientos del clúster se pueden ver en la IU a través del Panel de Policy Controller.
También puedes usar kubectl
para ver los incumplimientos en el clúster mediante el siguiente comando:
kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
Si hay incumplimientos, se puede ver una lista de los mensajes de incumplimiento por restricción con los siguientes elementos:
kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
Cambiar la acción de aplicación del paquete de políticas de MITRE
Una vez que hayas revisado los incumplimientos de políticas en tu clúster, puedes considerar
cambiar el modo de aplicación para que el controlador de admisión warn
o incluso deny
bloquee los recursos que no cumplen con las políticas en el clúster.
kubectl
Usa kubectl para establecer la acción de aplicación de las políticas en
warn
:kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
Verifica que se haya actualizado la acción de aplicación de restricciones de la política:
kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024
kpt
Ejecuta la función kpt
set-enforcement-action
para establecer la acción de aplicación de las políticas enwarn
:kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Aplica las restricciones de la política:
kpt live apply
Sincronizador de configuración
Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:
Cambia al directorio del Sincronizador de configuración:
cd SYNC_ROOT_DIR
Ejecuta la función kpt
set-enforcement-action
para establecer la acción de aplicación de las políticas enwarn
:kpt fn eval policies/mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Envía cambios al repositorio del Sincronizador de configuración:
git add SYNC_ROOT_DIR/policies/mitre-v2024 git commit -m 'Adding MITRE policy bundle warn enforcement' git push
Verifica el estado de la instalación:
gcloud alpha anthos config sync repo list --project PROJECT_ID
El repositorio que aparece en la columna
SYNCED
confirma la instalación de las políticas.
Aplicación de la política de prueba
Crea un recurso que no cumpla con las políticas en el clúster con el siguiente comando:
cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
namespace: default
name: wp-non-compliant
labels:
app: wordpress
spec:
containers:
- image: wordpress
name: wordpress
ports:
- containerPort: 80
name: wordpress
EOF
El controlador de admisión debe producir una advertencia en la que se mencionen los incumplimientos de políticas que infringe este recurso, como se muestra en el siguiente ejemplo:
Warning: [mitre-v2024-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/gke-on-prem-release/", "gcr.io/gke-multi-cloud-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"] pod/wp-non-compliant created
Quitar paquete de políticas de MITRE
Si es necesario, el paquete de políticas de MITRE se puede quitar del clúster.
kubectl
Usa kubectl para quitar las políticas:
kubectl delete constraint -l policycontroller.gke.io/bundleName=mitre-v2024
kpt
Quita las políticas:
kpt live destroy
Sincronizador de configuración
Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:
Envía cambios al repositorio del Sincronizador de configuración:
git rm -r SYNC_ROOT_DIR/policies/mitre-v2024 git commit -m 'Removing MITRE policies' git push
Verifica el estado:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Si el repositorio aparece en la columna
SYNCED
, confirma la eliminación de las políticas.