Детальная информация

Целью работы является разработка фреймворка для автоматизации анализа защищённости сервисов оркестрации Kubernetes и Docker Swarm, обеспечивающего комплексное сканирование конфигураций и образов контейнеров с оценкой результатов на соответствие требованиям группы мер ЗКО методического документа ФСТЭК России. Задачи, решаемые в ходе исследования: 1. Исследовать архитектуру и принципы функционирования оркестраторов Kubernetes и Docker Swarm, а также угрозы безопасности контейнерных сред, рекомендации и требования по их защите. 2. Провести анализ существующих инструментов сканирования безопасности и обосновать выбор инструментов для интеграции. 3. Реализовать расширяемый фреймворк автоматизации анализа защищённости сервисов оркестрации, в котором инструменты сканирования подключаются через единый интерфейс, а их результаты приводятся к единой модели данных, пригодной для надстройки аналитических модулей; предоставить доступ через REST API и поддержку запусков по расписанию. 4. Реализовать компонент оценки соответствия требованиям группы мер ЗКО методического документа ФСТЭК России. В ходе работы исследованы архитектура оркестраторов Kubernetes и Docker Swarm и угрозы безопасности контейнерных сред. Проанализированы нормативные документы в области защиты контейнерных сред: CIS Kubernetes Benchmark, CIS Docker Benchmark, Kubernetes Hardening Guide и методический документ ФСТЭК России. Проведён сравнительный анализ шести инструментов сканирования безопасности, на основании которого для интеграции отобраны kube-bench, docker-bench-security и Trivy. Сформулирован критерий соотнесения проверок CIS бенчмарков с мерами ЗКО, на основе которого сформирован набор индикаторов для восьми мер. В результате разработан фреймворк для автоматизации анализа защищённости с модульной архитектурой, REST API и компонентом оценки соответствия. Полученные результаты могут быть использованы для периодического аудита защищённости контейнерных сред и оценки соответствия требованиям ФСТЭК России. Для достижения результатов разработано серверное приложение на языке Python для запуска инструментов сканирования в изолированных контейнерах.

The aim of this work is to develop an application for automating the security analysis of Kubernetes and Docker Swarm orchestration services, providing comprehensive scanning of container configurations and images with assessment of the results for compliance with the ZKO group of measures defined in the methodological document of FSTEC of Russia. The objectives of the research are as follows: 1. To study the architecture and operating principles of the Kubernetes and Docker Swarm orchestrators, as well as security threats to containerized environments, recommendations and requirements for their protection. 2. To analyze existing security scanning tools and justify the selection of tools for integration. 3. To implement an extensible framework for automated security analysis of orchestration services, in which scanning tools are integrated through a unified interface and their results are normalized into a common data model suitable for layering analytical modules on top; to provide access via a REST API and support for scheduled scan runs. 4. To implement a compliance assessment component for the ZKO group of measures of the FSTEC methodological document. In the course of the work, the architecture of the Kubernetes and Docker Swarm orchestrators and security threats to containerized environments were studied. Regulatory documents in the field of container security were analyzed: CIS Kubernetes Benchmark, CIS Docker Benchmark, Kubernetes Hardening Guide and the FSTEC methodological document. A comparative analysis of six security scanning tools was conducted, based on which kube-bench, docker-bench-security and Trivy were selected for integration. A criterion for mapping CIS benchmark checks to ZKO measures was formulated, based on which a set of indicators for eight measures was formed. As a result, a framework for security analysis automation with a modular architecture, REST API and a compliance assessment component was developed. The results can be used for periodic security auditing of containerized environments and compliance assessment against the requirements of FSTEC of Russia. To achieve these results, a server application was developed in Python using the Docker API to run scanning tools in isolated containers. The test bench was deployed using minikube and Docker Swarm.