Menggunakan batasan kebijakan MITRE

Pratinjau

Produk atau fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum di Persyaratan Khusus Layanan. Produk dan fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Pengontrol Kebijakan dilengkapi dengan library default template batasan yang dapat digunakan dengan paket kebijakan MITRE untuk mengevaluasi kepatuhan resource cluster Anda terhadap beberapa aspek pusat informasi MITRE tentang taktik dan teknik penyerang berdasarkan pengamatan dunia nyata.

Halaman ini berisi petunjuk untuk menerapkan paket kebijakan secara manual. Atau, Anda dapat menerapkan paket kebijakan secara langsung.

Peringatan: Setelah Anda memilih metode untuk menerapkan paket kebijakan (manual, gcloud CLI, atau konsol Google Cloud), menggunakan metode lain untuk menginstal paket kebijakan dapat menyebabkan error di lingkungan Anda.

Batasan paket kebijakan MITRE

Nama Batasan	Deskripsi Batasan
mitre-v2024-apparmor	Membatasi profil AppArmor untuk Pod.
mitre-v2024-block-all-ingress	Membatasi pembuatan objek Ingress.
mitre-v2024-cronjob-restrict-repos	Membatasi image container untuk CronJob ke daftar `repos` yang diizinkan.
mitre-v2024-no-anonymous	Tidak mengizinkan penghubungan resource ClusterRole dan Role ke pengguna system:anonymous dan grup system:unauthenticated.
mitre-v2024-host-namespaces-host-pid-ipc	Container tidak dapat dijalankan dengan hostPID atau hostIPC yang disetel ke true.
mitre-v2024-host-namespaces-hostnetwork	Container tidak dapat dijalankan dengan hostNetwork yang disetel ke true.
mitre-v2024-host-ports	HostPorts sebaiknya tidak diizinkan, atau setidaknya dibatasi ke daftar yang diketahui.
mitre-v2024-no-secrets-as-env-vars	Membatasi penggunaan secret sebagai variabel lingkungan dalam definisi penampung.
mitre-v2024-privileged-containers	Membatasi penampung dengan securityContext.privileged yang ditetapkan ke true.
mitre-v2024-proc-mount-type	Topeng /proc default mengurangi permukaan serangan, dan diperlukan.
mitre-v2024-require-binauthz	Memerlukan Webhook Penerimaan Validasi Otorisasi Biner.
mitre-v2024-require-namespace-networkpolicy	Mewajibkan setiap namespace yang ditentukan dalam cluster memiliki NetworkPolicy.
mitre-v2024-restrict-admission-controller	Membatasi penggunaan pengontrol dan webhook penerimaan dinamis.
mitre-v2024-restrict-automountserviceaccounttoken	Membatasi penggunaan token akun layanan.
mitre-v2024-restrict-capabilities	Menambahkan kemampuan selain yang tercantum tidak diizinkan.
mitre-v2024-restrict-cluster-admin-role	Membatasi penggunaan peran cluster-admin.
mitre-v2024-restrict-hostpath-volumes	Membatasi penggunaan volume HostPath.
mitre-v2024-restrict-kubernetes-dashboard-namespace	Membatasi penggunaan namespace kubernetes-dashboard.
mitre-v2024-restrict-pods-exec	Membatasi penggunaan pods/exec di Roles dan ClusterRoles.
mitre-v2024-restrict-rbac-subjects	Membatasi penggunaan nama dalam subjek RBAC ke nilai yang diizinkan.
mitre-v2024-restrict-repos	Membatasi image container ke daftar repos yang diizinkan.
mitre-v2024-restrict-role-secrets	Membatasi penggunaan secret di Roles dan ClusterRoles.
mitre-v2024-restrict-windows-hostprocess	Membatasi pengoperasian container / pod HostProcess Windows
mitre-v2024-seccomp	Profil seccomp tidak boleh disetel ke Unconfined.
mitre-v2024-selinux	Tidak dapat menetapkan jenis SELinux atau menetapkan opsi peran atau pengguna SELinux kustom.
mitre-v2024-sysctls	Container hanya dapat menetapkan sysctl yang tercantum di kolom allowedSysctls.

Sebelum memulai

1. Instal dan lakukan inisialisasi pada Google Cloud CLI, yang menyediakan perintah gcloud dan kubectl yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah diinstal sebelumnya.
2. Instal Pengontrol Kebijakan v1.17.2 atau yang lebih tinggi di cluster Anda dengan library template batasan default. Anda juga harus mengaktifkan dukungan untuk batasan referensi karena paket ini berisi batasan referensi.

Mengonfigurasi Pengontrol Kebijakan untuk batasan referensi

Peringatan: Anda dapat menimpa perubahan. Jika sudah memiliki Config di namespace gatekeeper-system, Anda harus menyertakan semua setelan penyesuaian sebelumnya untuk mempertahankan perubahan.

1. Simpan manifes YAML berikut ke file sebagai policycontroller-config.yaml. Manifes mengonfigurasi Pengontrol Kebijakan untuk memantau jenis objek tertentu.

   apiVersion: config.gatekeeper.sh/v1alpha1
   kind: Config
   metadata:
     name: config
     namespace: "gatekeeper-system"
   spec:
     sync:
       syncOnly:
         - group: "networking.k8s.io"
           version: "v1"
           kind: "NetworkPolicy"
         - group: "admissionregistration.k8s.io"
           version: "v1"
           kind: "ValidatingWebhookConfiguration"
   

2. Terapkan manifes policycontroller-config.yaml:

   kubectl apply -f policycontroller-config.yaml
   

Mengaudit paket kebijakan MITRE

Pengontrol Kebijakan memungkinkan Anda menerapkan kebijakan untuk cluster Kubernetes. Untuk membantu menguji workload dan kepatuhannya sehubungan dengan kebijakan MITRE yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkapkan pelanggaran dan yang lebih penting memberi Anda kesempatan untuk memperbaikinya sebelum menerapkannya di cluster Kubernetes.

Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction ditetapkan ke dryrun menggunakan kubectl, kpt, atau Config Sync.

kubectl

1. (Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024
   

2. Terapkan batasan kebijakan dengan kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024
   

   Outputnya adalah sebagai berikut:

   k8sallowedrepos.constraints.gatekeeper.sh/mitre-v2024-restrict-repos created
   k8sblockallingress.constraints.gatekeeper.sh/mitre-v2024-block-all-ingress created
   k8scronjoballowedrepos.constraints.gatekeeper.sh/mitre-v2024-cronjob-restrict-repos created
   k8sdisallowanonymous.constraints.gatekeeper.sh/mitre-v2024-no-anonymous created
   k8snoenvvarsecrets.constraints.gatekeeper.sh/mitre-v2024-no-secrets-as-env-vars created
   k8spspapparmor.constraints.gatekeeper.sh/mitre-v2024-apparmor created
   k8spspcapabilities.constraints.gatekeeper.sh/mitre-v2024-restrict-capabilities created
   k8spspforbiddensysctls.constraints.gatekeeper.sh/mitre-v2024-sysctls created
   k8spsphostfilesystem.constraints.gatekeeper.sh/mitre-v2024-restrict-hostpath-volumes created
   k8spsphostnamespace.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-host-pid-ipc created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-hostnetwork created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-ports created
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/mitre-v2024-privileged-containers created
   k8spspprocmount.constraints.gatekeeper.sh/mitre-v2024-proc-mount-type created
   k8spspselinuxv2.constraints.gatekeeper.sh/mitre-v2024-selinux created
   k8spspseccomp.constraints.gatekeeper.sh/mitre-v2024-seccomp created
   k8spspwindowshostprocess.constraints.gatekeeper.sh/mitre-v2024-restrict-windows-hostprocess created
   k8srequirebinauthz.constraints.gatekeeper.sh/mitre-v2024-require-binauthz created
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/mitre-v2024-require-namespace-networkpolicy created
   k8srestrictadmissioncontroller.constraints.gatekeeper.sh/mitre-v2024-restrict-admission-controller created
   k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/mitre-v2024-restrict-automountserviceaccounttoken created
   k8srestrictnamespaces.constraints.gatekeeper.sh/mitre-v2024-restrict-kubernetes-dashboard-namespace created
   k8srestrictrbacsubjects.constraints.gatekeeper.sh/mitre-v2024-restrict-rbac-subjects created
   k8srestrictrolebindings.constraints.gatekeeper.sh/mitre-v2024-restrict-cluster-admin-role created
   k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-pods-exec created
   k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-role-secrets created
   

3. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

   kubectl get constraints -l policycontroller.gke.io/bundleName=mitre-v2024
   

   Outputnya mirip dengan hal berikut ini:

   NAME                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sallowedrepos.constraints.gatekeeper.sh/mitre-v2024-restrict-repos   dryrun               0
   
   NAME                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockallingress.constraints.gatekeeper.sh/mitre-v2024-block-all-ingress   dryrun               0
   
   NAME                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8scronjoballowedrepos.constraints.gatekeeper.sh/mitre-v2024-cronjob-restrict-repos   dryrun               0
   
   NAME                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sdisallowanonymous.constraints.gatekeeper.sh/mitre-v2024-no-anonymous   dryrun               0
   
   NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8snoenvvarsecrets.constraints.gatekeeper.sh/mitre-v2024-no-secrets-as-env-vars   dryrun               0
   
   NAME                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspapparmor.constraints.gatekeeper.sh/mitre-v2024-apparmor   dryrun               0
   
   NAME                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspcapabilities.constraints.gatekeeper.sh/mitre-v2024-restrict-capabilities   dryrun               0
   
   NAME                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspforbiddensysctls.constraints.gatekeeper.sh/mitre-v2024-sysctls   dryrun               0
   
   NAME                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostfilesystem.constraints.gatekeeper.sh/mitre-v2024-restrict-hostpath-volumes   dryrun               0
   
   NAME                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnamespace.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-host-pid-ipc   dryrun               0
   
   NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-hostnetwork   dryrun               0
   k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-ports                    dryrun               0
   
   NAME                                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/mitre-v2024-privileged-containers   dryrun               0
   
   NAME                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprocmount.constraints.gatekeeper.sh/mitre-v2024-proc-mount-type   dryrun               0
   
   NAME                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspseccomp.constraints.gatekeeper.sh/mitre-v2024-seccomp   dryrun               0
   
   NAME                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspselinuxv2.constraints.gatekeeper.sh/mitre-v2024-selinux   dryrun               0
   
   NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspwindowshostprocess.constraints.gatekeeper.sh/mitre-v2024-restrict-windows-hostprocess   dryrun               0
   
   NAME                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirebinauthz.constraints.gatekeeper.sh/mitre-v2024-require-binauthz   dryrun               0
   
   NAME                                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/mitre-v2024-require-namespace-networkpolicy   dryrun               0
   
   NAME                                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictadmissioncontroller.constraints.gatekeeper.sh/mitre-v2024-restrict-admission-controller   dryrun               0
   
   NAME                                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/mitre-v2024-restrict-automountserviceaccounttoken   dryrun               0
   
   NAME                                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictnamespaces.constraints.gatekeeper.sh/mitre-v2024-restrict-kubernetes-dashboard-namespace   dryrun               0
   
   NAME                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrbacsubjects.constraints.gatekeeper.sh/mitre-v2024-restrict-rbac-subjects   dryrun               0
   
   NAME                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolebindings.constraints.gatekeeper.sh/mitre-v2024-restrict-cluster-admin-role   dryrun               0
   
   NAME                                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-pods-exec      dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-role-secrets   dryrun               0
   

kpt

1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

2. Download paket kebijakan MITRE dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024
   

3. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke dryrun:

   kpt fn eval mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
     -- enforcementAction=dryrun
   

4. Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:

   cd mitre-v2024
   kpt live init
   

5. Terapkan batasan kebijakan dengan kpt:

   kpt live apply
   

6. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

   kpt live status --output table --poll-until current
   

   Status CURRENT mengonfirmasi bahwa penginstalan batasan berhasil.

Config Sync

1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

   Catatan: Kpt v1.0.0-beta.17 dan yang lebih baru akan otomatis membuat file resourcegroup.yaml selama live init yang tidak boleh diperiksa ke repositori Config Sync Anda. Jika belum ada, tambahkan resourcegroup.yaml ke file .gitignore repo Anda.

   Untuk membuat atau menambahkan .gitignore dengan resourcegroup.yaml:

   echo resourcegroup.yaml >> .gitignore
   

2. Buat direktori policies khusus:

   mkdir -p policies
   

3. Download paket kebijakan MITRE dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024 policies/mitre-v2024
   

4. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke dryrun:

   kpt fn eval policies/mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

5. (Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:

   kpt live init policies/mitre-v2024
   kpt live apply --dry-run policies/mitre-v2024
   

6. Jika direktori sinkronisasi untuk Config Sync menggunakan Kustomize, tambahkan policies/mitre-v2024 ke kustomization.yaml root Anda. Jika tidak, hapus file policies/mitre-v2024/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/mitre-v2024/kustomization.yaml
   

7. Kirim perubahan ke repositori Config Sync:

   git add SYNC_ROOT_DIR/policies/mitre-v2024
   git commit -m 'Adding MITRE policy audit enforcement'
   git push
   

8. Verifikasi status penginstalan:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   Status SYNCED mengonfirmasi penginstalan kebijakan.

Melihat pelanggaran kebijakan

Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran di cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.

Anda juga dapat menggunakan kubectl untuk melihat pelanggaran di cluster menggunakan perintah berikut:

kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

Jika ada pelanggaran, daftar pesan pelanggaran per batasan dapat dilihat dengan:

kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Mengubah tindakan penerapan paket kebijakan MITRE

Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan untuk mengubah mode penerapan sehingga Pengontrol Akses akan warn mengaktifkan atau bahkan deny memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.

Peringatan: Tindakan penegakan deny harus digunakan dengan hati-hati karena dapat berpotensi memblokir perubahan yang diperlukan sehingga menyebabkan gangguan pada beban kerja penting atau cluster. Sebaiknya hanya tindakan penegakan warn atau dryrun yang digunakan di cluster dengan beban kerja produksi, saat menguji batasan baru, atau melakukan migrasi seperti mengupgrade platform. Untuk informasi selengkapnya tentang tindakan penegakan, lihat Audit menggunakan batasan.

kubectl

1. Gunakan kubectl untuk menetapkan tindakan penerapan kebijakan ke warn:

   kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Pastikan tindakan penerapan batasan kebijakan telah diperbarui:

   kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024
   

kpt

1. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Terapkan batasan kebijakan:

   kpt live apply
   

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

2. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke warn:

   kpt fn eval policies/mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Kirim perubahan ke repositori Config Sync:

   git add SYNC_ROOT_DIR/policies/mitre-v2024
   git commit -m 'Adding MITRE policy bundle warn enforcement'
   git push
   

4. Verifikasi status penginstalan:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Repositori Anda yang muncul di kolom SYNCED mengonfirmasi penginstalan kebijakan.

Menguji penegakan kebijakan

Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

Pengontrol akses akan menghasilkan peringatan yang mencantumkan pelanggaran kebijakan yang dilanggar resource ini, seperti yang ditunjukkan dalam contoh berikut:

Warning: [mitre-v2024-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/gke-on-prem-release/", "gcr.io/gke-multi-cloud-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"]
pod/wp-non-compliant created

Menghapus paket kebijakan MITRE

Jika perlu, paket kebijakan MITRE dapat dihapus dari cluster.

kubectl

• Gunakan kubectl untuk menghapus kebijakan:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=mitre-v2024
  

kpt

• Hapus kebijakan:

  kpt live destroy
  

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Kirim perubahan ke repositori Config Sync:

   git rm -r SYNC_ROOT_DIR/policies/mitre-v2024
   git commit -m 'Removing MITRE policies'
   git push
   

2. Verifikasi status:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Repositori Anda yang muncul di kolom SYNCED mengonfirmasi penghapusan kebijakan.