Kubernetes est un orchestrateur cloud qui permet d’optimiser le développement d’applications en facilitant l’exécution de conteneurs sur des clusters. Elle permet notamment de se délester des contraintes liées aux machines virtuelles (VM). Plus qu’un simple orchestrateur, Kubernetes permet également de réaliser le déploiement, la scalabilité ou encore le monitoring. K8s offre donc de multiples avantages, encore faut-il l’utiliser avec un niveau de sécurité à la hauteur des enjeux liés à son utilisation, surtout en ces temps où la cybercriminalité gagne du terrain. Comment rehausser la sécurité de Kubernetes ? Eléments de réponse.
Les 7 commandements de la NSA et la CISA
L’agence de sécurité intérieure des Etats-Unis (NSA) et l’agence de sécurités des systèmes d’informations (CISA) ont conjointement publié un document nommé « Kubernetes Hardening Guidance » afin de renforcer la sécurité de K8S. Selon les deux institutions, la plateforme est exposée aux cyber risques notamment au niveau de la chaine d’approvisionnement, au niveau des API et à cause des privilèges dont bénéficient les administrateurs et certains utilisateurs.
Pour protéger efficacement Kubernetes, voici 7 recommandations proposés par la NSA et la CISA :
· Assurez-vous que les conteneurs et les pods ne souffrent d’aucune vulnérabilité ou de problème de configuration
· Limitez au maximum les privilèges lorsque vous exécutez les conteneurs et les pods
· Séparez le réseau afin de limiter les dégâts d’une éventuelle compromission
· Faites bon usage des pares-feux et du cryptage pour assurer la confidentialité
· Limitez la surface d’attaque grâce à un système d’authentification et d’autorisation solide
· Surveillez l’activité grâce à l’audit des journaux
· Vérifiez régulièrement vos paramètres Kubernetes et assurez-vous que des correctifs de sécurité soient appliqués
Selon les experts, les deux agences américaines ont probablement publié ce document à la suite de l’affaire Colonial Pipeline qui a fait couler beaucoup d’encre outre-Atlantique. En outre, le document lève le voile sur l’insécurité des données stockées via le cloud.
Les fondements de la sécurité de l’exécution selon Gartner
Gartner, ou plutôt son vice-président Arun Chandrasekaran s’est également exprimé sur le sujet en mettant en avant les 4 piliers de la sécurisation des applications cloud natives, à savoir :
· La sécurisation des fondations : considérée comme la base de la sécurité de l’exécution, cela consiste à renforcer les clusters, le moteur d’exécution et la surveillance grâce notamment à une journalisation pertinente.
· La sécurisation du processus de livraison continue : cela consiste à utiliser des images de conteneurs fiables et des configurations vérifiées continuellement pour détecter toute vulnérabilité.
· Sécuriser les informations privilégiées.
· Sécuriser la couche réseau à tous les niveaux : du transport à la sécurité du cloud en passant par le code.
Les géants du cloud apportent leurs propres solutions
Depuis toujours, les principaux fournisseurs cloud, à savoir Google, Amazon et Microsoft font le nécessaire pour intégrer des solutions de sécurisation natives sur leurs services Kubernetes gérés. Leur objectif est de limiter les actions à mener du côté des développeurs d’applications pour renforcer la sécurité K8S. Eric Brewer, vice-président de Google de déclarer :
« Si nous le faisons correctement, les développeurs d'applications ne devraient pas avoir à faire grand-chose, la protection devrait être intégrée gratuitement à la plateforme ».
La firme californienne se base notamment sur l’idée « qu’aucune entreprise ne peut à elle seule résoudre ces problèmes ».
Les start-ups ne sont pas en reste
Les solutions fleurissent de tout part et les start-ups fournisseurs de sécurité d’exécution vont également dans ce sens. Dans ce contexte, Sysdig, l’une des étoiles montantes du secteur a créé un outil open source dénommé Falco, qui détecte les anomalies lors de l’exécution. Il a été développé en se basant sur des règles de sécurité spécifiques à Kubernetes, Linux et les applications cloud-native.
Deepfence, la start-up fondée en 2017 a mis au point un capteur qui peut s’intégrer dans tout micro-service afin d’estimer la surface d’attaque et permettre de déployer des mesures de défenses ciblées. Autre exemple, la start-up israélienne Aqua Security a lancé un outil open source baptisé Tracee qui surveille la sécurité à faible latence des applications lors de l’exécution.
Contrairement aux géants du cloud qui mettent en avant leurs solutions 100% propriétaires, ces start-ups tiennent aux solutions open source pour les développeurs. Toujours selon Arun Chandrasekaran, les développeurs « veulent travailler avec des entreprises qui participent activement aux communautés open source et qui fournissent des solutions commerciales sur des logiciels open source, car c'est la base de la technologie cloud native ».
