Menggunakan batasan kebijakan MITRE

Pengontrol Kebijakan dilengkapi dengan library template batasan default yang dapat digunakan dengan paket kebijakan MITRE untuk mengevaluasi kepatuhan resource cluster Anda terhadap beberapa aspek pusat informasi MITRE tentang taktik dan teknik penyerang berdasarkan observasi dunia nyata.

Halaman ini berisi petunjuk untuk menerapkan paket kebijakan secara manual. Atau, Anda dapat menerapkan paket kebijakan secara langsung.

Batasan paket kebijakan MITRE

Nama Batasan Deskripsi Batasan
mitre-v2024-apparmor Membatasi profil AppArmor untuk Pod.
mitre-v2024-block-all-ingress Membatasi pembuatan objek Ingress.
mitre-v2024-cronjob-restrict-repos Membatasi image container untuk CronJob ke daftar `repos` yang diizinkan.
mitre-v2024-no-anonymous Tidak mengizinkan pengaitan resource ClusterRole dan Role ke pengguna system:anonymous dan grup system:unauthenticated.
mitre-v2024-host-namespaces-host-pid-ipc Container tidak dapat dijalankan dengan hostPID atau hostIPC yang disetel ke true.
mitre-v2024-host-namespaces-hostnetwork Container tidak dapat dijalankan dengan hostNetwork yang disetel ke true.
mitre-v2024-host-ports HostPorts sebaiknya tidak diizinkan, atau setidaknya dibatasi ke daftar yang diketahui.
mitre-v2024-no-secrets-as-env-vars Membatasi penggunaan secret sebagai variabel lingkungan dalam definisi container.
mitre-v2024-privileged-containers Membatasi container dengan securityContext.privileged yang ditetapkan ke true.
mitre-v2024-proc-mount-type Masker /proc default mengurangi permukaan serangan, dan wajib ada.
mitre-v2024-require-binauthz Memerlukan Webhook Penerimaan Validasi Otorisasi Biner.
mitre-v2024-require-namespace-networkpolicy Memastikan bahwa setiap namespace yang ditentukan dalam cluster memiliki NetworkPolicy.
mitre-v2024-restrict-admission-controller Membatasi penggunaan webhook dan pengontrol penerimaan dinamis.
mitre-v2024-restrict-automountserviceaccounttoken Membatasi penggunaan token akun layanan.
mitre-v2024-restrict-capabilities Menambahkan kemampuan di luar yang tercantum tidak diizinkan.
mitre-v2024-restrict-cluster-admin-role Membatasi penggunaan peran cluster-admin.
mitre-v2024-restrict-hostpath-volumes Membatasi penggunaan volume HostPath.
mitre-v2024-restrict-kubernetes-dashboard-namespace Membatasi penggunaan namespace kubernetes-dashboard.
mitre-v2024-restrict-pods-exec Membatasi penggunaan pods/exec di Roles dan ClusterRoles.
mitre-v2024-restrict-rbac-subjects Membatasi penggunaan nama dalam subjek RBAC ke nilai yang diizinkan.
mitre-v2024-restrict-repos Membatasi image container ke daftar repos yang diizinkan.
mitre-v2024-restrict-role-secrets Membatasi penggunaan secret di Roles dan ClusterRoles.
mitre-v2024-restrict-windows-hostprocess Membatasi eksekusi container / pod HostProcess Windows
mitre-v2024-seccomp Profil seccomp tidak boleh disetel ke Unconfined.
mitre-v2024-selinux Tidak dapat menetapkan jenis SELinux atau menetapkan opsi peran atau pengguna SELinux kustom.
mitre-v2024-sysctls Container hanya dapat menyetel sysctl yang tercantum di kolom allowedSysctls.

Sebelum memulai

  1. Instal dan lakukan inisialisasi Google Cloud CLI, yang menyediakan perintah gcloud dan kubectl yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah terinstal sebelumnya.
  2. Instal Pengontrol Kebijakan v1.17.2 atau yang lebih tinggi di cluster Anda dengan library default template batasan. Anda juga harus mengaktifkan dukungan untuk batasan referensial karena paket ini berisi batasan referensial.

Mengonfigurasi Policy Controller untuk batasan referensial

  1. Simpan manifes YAML berikut ke file sebagai policycontroller-config.yaml. Manifes mengonfigurasi Policy Controller untuk memantau jenis objek tertentu.

    apiVersion: config.gatekeeper.sh/v1alpha1 kind: Config metadata:   name: config   namespace: "gatekeeper-system" spec:   sync:     syncOnly:       - group: "networking.k8s.io"         version: "v1"         kind: "NetworkPolicy"       - group: "admissionregistration.k8s.io"         version: "v1"         kind: "ValidatingWebhookConfiguration"

  2. Terapkan manifes policycontroller-config.yaml:

    kubectl apply -f policycontroller-config.yaml

Mengaudit paket kebijakan MITRE

Dengan Pengontrol Kebijakan, Anda dapat menerapkan kebijakan untuk cluster Kubernetes Anda. Untuk membantu menguji workload dan kepatuhannya terhadap kebijakan MITRE yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkapkan pelanggaran dan yang lebih penting memberi Anda kesempatan untuk memperbaikinya sebelum diterapkan di cluster Kubernetes Anda.

Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction ditetapkan ke dryrun menggunakan kubectl, kpt, atau Config Sync.

kubectl

  1. (Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:

     kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024

  2. Terapkan batasan kebijakan dengan kubectl:

     kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024

    Outputnya adalah sebagai berikut:

     k8sallowedrepos.constraints.gatekeeper.sh/mitre-v2024-restrict-repos created k8sblockallingress.constraints.gatekeeper.sh/mitre-v2024-block-all-ingress created k8scronjoballowedrepos.constraints.gatekeeper.sh/mitre-v2024-cronjob-restrict-repos created k8sdisallowanonymous.constraints.gatekeeper.sh/mitre-v2024-no-anonymous created k8snoenvvarsecrets.constraints.gatekeeper.sh/mitre-v2024-no-secrets-as-env-vars created k8spspapparmor.constraints.gatekeeper.sh/mitre-v2024-apparmor created k8spspcapabilities.constraints.gatekeeper.sh/mitre-v2024-restrict-capabilities created k8spspforbiddensysctls.constraints.gatekeeper.sh/mitre-v2024-sysctls created k8spsphostfilesystem.constraints.gatekeeper.sh/mitre-v2024-restrict-hostpath-volumes created k8spsphostnamespace.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-host-pid-ipc created k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-hostnetwork created k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-ports created k8spspprivilegedcontainer.constraints.gatekeeper.sh/mitre-v2024-privileged-containers created k8spspprocmount.constraints.gatekeeper.sh/mitre-v2024-proc-mount-type created k8spspselinuxv2.constraints.gatekeeper.sh/mitre-v2024-selinux created k8spspseccomp.constraints.gatekeeper.sh/mitre-v2024-seccomp created k8spspwindowshostprocess.constraints.gatekeeper.sh/mitre-v2024-restrict-windows-hostprocess created k8srequirebinauthz.constraints.gatekeeper.sh/mitre-v2024-require-binauthz created k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/mitre-v2024-require-namespace-networkpolicy created k8srestrictadmissioncontroller.constraints.gatekeeper.sh/mitre-v2024-restrict-admission-controller created k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/mitre-v2024-restrict-automountserviceaccounttoken created k8srestrictnamespaces.constraints.gatekeeper.sh/mitre-v2024-restrict-kubernetes-dashboard-namespace created k8srestrictrbacsubjects.constraints.gatekeeper.sh/mitre-v2024-restrict-rbac-subjects created k8srestrictrolebindings.constraints.gatekeeper.sh/mitre-v2024-restrict-cluster-admin-role created k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-pods-exec created k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-role-secrets created

  3. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

     kubectl get constraints -l policycontroller.gke.io/bundleName=mitre-v2024

    Outputnya mirip dengan hal berikut ini:

     NAME                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8sallowedrepos.constraints.gatekeeper.sh/mitre-v2024-restrict-repos   dryrun               0  NAME                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8sblockallingress.constraints.gatekeeper.sh/mitre-v2024-block-all-ingress   dryrun               0  NAME                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8scronjoballowedrepos.constraints.gatekeeper.sh/mitre-v2024-cronjob-restrict-repos   dryrun               0  NAME                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8sdisallowanonymous.constraints.gatekeeper.sh/mitre-v2024-no-anonymous   dryrun               0  NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8snoenvvarsecrets.constraints.gatekeeper.sh/mitre-v2024-no-secrets-as-env-vars   dryrun               0  NAME                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8spspapparmor.constraints.gatekeeper.sh/mitre-v2024-apparmor   dryrun               0  NAME                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8spspcapabilities.constraints.gatekeeper.sh/mitre-v2024-restrict-capabilities   dryrun               0  NAME                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8spspforbiddensysctls.constraints.gatekeeper.sh/mitre-v2024-sysctls   dryrun               0  NAME                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8spsphostfilesystem.constraints.gatekeeper.sh/mitre-v2024-restrict-hostpath-volumes   dryrun               0  NAME                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8spsphostnamespace.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-host-pid-ipc   dryrun               0  NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-hostnetwork   dryrun               0 k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-ports                    dryrun               0  NAME                                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8spspprivilegedcontainer.constraints.gatekeeper.sh/mitre-v2024-privileged-containers   dryrun               0  NAME                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8spspprocmount.constraints.gatekeeper.sh/mitre-v2024-proc-mount-type   dryrun               0  NAME                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8spspseccomp.constraints.gatekeeper.sh/mitre-v2024-seccomp   dryrun               0  NAME                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8spspselinuxv2.constraints.gatekeeper.sh/mitre-v2024-selinux   dryrun               0  NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8spspwindowshostprocess.constraints.gatekeeper.sh/mitre-v2024-restrict-windows-hostprocess   dryrun               0  NAME                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8srequirebinauthz.constraints.gatekeeper.sh/mitre-v2024-require-binauthz   dryrun               0  NAME                                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/mitre-v2024-require-namespace-networkpolicy   dryrun               0  NAME                                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8srestrictadmissioncontroller.constraints.gatekeeper.sh/mitre-v2024-restrict-admission-controller   dryrun               0  NAME                                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/mitre-v2024-restrict-automountserviceaccounttoken   dryrun               0  NAME                                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8srestrictnamespaces.constraints.gatekeeper.sh/mitre-v2024-restrict-kubernetes-dashboard-namespace   dryrun               0  NAME                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8srestrictrbacsubjects.constraints.gatekeeper.sh/mitre-v2024-restrict-rbac-subjects   dryrun               0  NAME                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8srestrictrolebindings.constraints.gatekeeper.sh/mitre-v2024-restrict-cluster-admin-role   dryrun               0  NAME                                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-pods-exec      dryrun               0 k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-role-secrets   dryrun               0

kpt

  1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

  2. Download paket kebijakan MITRE dari GitHub menggunakan kpt:

     kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024

  3. Jalankan fungsi KPT set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke dryrun:

     kpt fn eval mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \   -- enforcementAction=dryrun

  4. Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:

     cd mitre-v2024 kpt live init

  5. Terapkan batasan kebijakan dengan kpt:

     kpt live apply

  6. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

     kpt live status --output table --poll-until current

    Status CURRENT mengonfirmasi penginstalan batasan yang berhasil.

Config Sync

  1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

  1. Ubah ke direktori sinkronisasi untuk Config Sync:

     cd SYNC_ROOT_DIR

    Untuk membuat atau menambahkan .gitignore dengan resourcegroup.yaml: 

     echo resourcegroup.yaml >> .gitignore

  2. Buat direktori policies khusus:

     mkdir -p policies

  3. Download paket kebijakan MITRE dari GitHub menggunakan kpt:

     kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024 policies/mitre-v2024

  4. Jalankan fungsi KPT set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke dryrun:

     kpt fn eval policies/mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun

  5. (Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:

     kpt live init policies/mitre-v2024 kpt live apply --dry-run policies/mitre-v2024

  6. Jika direktori sinkronisasi Anda untuk Config Sync menggunakan Kustomize, tambahkan policies/mitre-v2024 ke kustomization.yaml root Anda. Jika tidak, hapus file policies/mitre-v2024/kustomization.yaml:

     rm SYNC_ROOT_DIR/policies/mitre-v2024/kustomization.yaml

  7. Kirim perubahan ke repositori Config Sync:

     git add SYNC_ROOT_DIR/policies/mitre-v2024 git commit -m 'Adding MITRE policy audit enforcement' git push

  8. Verifikasi status penginstalan:

     watch gcloud beta container fleet config-management status --project PROJECT_ID

    Status SYNCED mengonfirmasi penginstalan kebijakan.

Melihat pelanggaran kebijakan

Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran pada cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.

Anda juga dapat menggunakan kubectl untuk melihat pelanggaran pada cluster menggunakan perintah berikut:

 kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

Jika ada pelanggaran, daftar pesan pelanggaran per batasan dapat dilihat dengan:

 kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Mengubah tindakan penegakan paket kebijakan MITRE

Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan untuk mengubah mode penerapan sehingga Pengontrol Penerimaan akan warn diaktifkan atau bahkan deny memblokir penerapan resource yang tidak mematuhi kebijakan ke cluster.

kubectl

  1. Gunakan kubectl untuk menyetel tindakan penerapan kebijakan ke warn:

     kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'

  2. Pastikan tindakan penerapan batasan kebijakan telah diperbarui:

     kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024

kpt

  1. Jalankan fungsi KPT set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke warn:

     kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn

  2. Terapkan batasan kebijakan:

     kpt live apply

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

  1. Ubah ke direktori sinkronisasi untuk Config Sync:

     cd SYNC_ROOT_DIR

  2. Jalankan fungsi KPT set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke warn:

     kpt fn eval policies/mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn

  3. Kirim perubahan ke repositori Config Sync:

     git add SYNC_ROOT_DIR/policies/mitre-v2024 git commit -m 'Adding MITRE policy bundle warn enforcement' git push

  4. Verifikasi status penginstalan:

     nomos status

    Cluster akan menampilkan status SYNCED dengan kebijakan yang diinstal.

Menguji penegakan kebijakan

Buat resource yang tidak sesuai di cluster menggunakan perintah berikut:

cat <<EOF | kubectl apply -f - apiVersion: v1 kind: Pod metadata:   namespace: default   name: wp-non-compliant   labels:     app: wordpress spec:   containers:     - image: wordpress       name: wordpress       ports:       - containerPort: 80         name: wordpress EOF

Pengontrol penerimaan harus menghasilkan peringatan yang mencantumkan pelanggaran kebijakan yang dilakukan oleh resource ini, seperti yang ditunjukkan dalam contoh berikut:

 Warning: [mitre-v2024-restrict-repos] container <wordpress&gt has an invalid image repo <wordpress&gt, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/gke-on-prem-release/", "gcr.io/gke-multi-cloud-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"] pod/wp-non-compliant created

Menghapus paket kebijakan MITRE

Jika perlu, paket kebijakan MITRE dapat dihapus dari cluster.

kubectl

  • Gunakan kubectl untuk menghapus kebijakan:

     kubectl delete constraint -l policycontroller.gke.io/bundleName=mitre-v2024

kpt

  • Hapus kebijakan:

     kpt live destroy

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

  1. Kirim perubahan ke repositori Config Sync:

     git rm -r SYNC_ROOT_DIR/policies/mitre-v2024 git commit -m 'Removing MITRE policies' git push

  2. Verifikasi status:

     nomos status

    Cluster akan menampilkan status SYNCED dengan resource yang dihapus.