Details

Целью работы является повышение уровня защищенности контейнеризированных приложений за счет разработки комплексного механизма управления и мониторинга использования привилегий процессов внутри контейнеров. Объектом исследования процессы обеспечения информационной безопасности в контейнеризированных средах на базе оркестратора Kubernetes. Задачи, решаемые в ходе исследования: 1. Сформировать методику определения минимальных привилегий контейнеров Docker rootless. 2. Спроектировать механизм двухуровневого контроля привилегий в Kubernetes. 3. Реализовать систему контроля привилегий в Kubernetes. В ходе работы сформирована методика анализа и определения минимально необходимых привилегий для различных типов контейнеризированных приложений и проведен анализ профилей исполнения для нескольких групп сервисов. В результате разработана система управления привилегиями, обеспечивающая статический контроль конфигураций и динамический контроль. Полученные результаты могут быть использованы для повышения защищенности контейнерных сред Kubernetes. Для достижения данных результатов разработана база данных на MySQL, написаны программы на Python и Go для взаимодействия с ней, а также использованы технологии Admission Controller и Tetragon для разработки статического и динамического контроля привилегий в Kubernetes.

The purpose of the study is to increase the security level of containerized applications by developing an integrated mechanism for managing and monitoring the use of privileges of processes inside containers. The object of the work is information security processes in containerized environments based on the Kubernetes orchestrator. Tasks to be solved during the research: 1. Develop a methodology for determining the minimum required privileges for Docker rootless containers. 2. Design a two level privilege control mechanism in Kubernetes. 3. Implement a privilege control system in Kubernetes. In the course of the work, a methodology for analyzing and determining the minimum necessary privileges for various types of containerized applications was developed, and an analysis of execution profiles for several service groups was carried out. As a result, a privilege management system that provides static configuration control and dynamic runtime control was developed. The obtained results can be used to improve the security of Kubernetes container environments. To achieve these results, a MySQL database was developed, programs in Python and Go were written to interact with it, and Admission Controller and Tetragon technologies were used to develop static and dynamic privilege control in Kubernetes.