快速上手雲原生安全平臺 NeuVector

作者簡介
萬紹遠，CNCF 基金會官方認證 Kubernetes CKA&CKS 工程師，雲原生解決方案架構師。對 ceph、Openstack、Kubernetes、prometheus 技術和其他雲原生相關技術有較深入的研究。參與設計並實施過多個金融、保險、製造業等多個行業 IaaS 和 PaaS 平臺設計和應用雲原生改造指導。

前言

NeuVector 是業界首個端到端的開源容器安全平臺，唯一爲容器化工作負載提供企業級零信任安全的解決方案。NeuVector 可以提供實時深入的容器網絡可視化、東西向容器網絡監控、主動隔離和保護、容器主機安全以及容器內部安全，容器管理平臺無縫集成並且實現應用級容器安全的自動化，適用於各種雲環境、跨雲或者本地部署等容器生產環境。

此前，我們介紹了 NeuVector 的安裝部署、高可用架構設計和多雲安全管理，本篇將演示 NeuVector 的基礎功能，主要包括：

安全漏洞管理
合規性檢查和機密性檢查
策略管理
准入控制策略
動態安全響應
行爲監控

項目地址：https://github.com/neuvector/neuvector

本文主要基於 NeuVector 首個開源版 NeuVector:5.0.0-preview.1 進行介紹。

1.安全漏洞管理

NeuVector 集成了 CVE 漏洞庫，每天自動更新，支持對平臺（Kubernetes）、主機、容器、鏡像倉庫進行安全漏洞掃描。

配置自動掃描，當平臺漏洞庫有更新，或有新的節點和容器加入時，會自動進行掃描。

針對不同漏洞，有不同的風險級別提示、對應的組件版本提示和修復版本提示。

針對每個漏洞，NeuVector 可以展示對應的漏洞發佈時間、漏洞影響範圍、對應的組件影響版本。

對漏洞進行過濾，檢測是否已經修復，以及漏洞等級、發佈時間等。

1.1. 配置對接鏡像倉庫漏洞掃描

支持對接多種鏡像倉庫如 docker-registry（harbor）、JFrog Artifactory、Nexus 等。

以對接 Harbor 爲例。配置連接方式，填寫連接方式和認證信息，過濾器表示需要掃描的範圍，如掃描 uat 項目下全部鏡像則 uat/*,如果需要掃描整個 Harbor 內全部鏡像則 * 。測試設置可以驗證編寫的表達式的關聯情況。

2.合規性檢查和機密性檢查

NeuVector 的合規性審覈包括 CIS 基線測試、自定義檢查、機密審覈以及 PCI、GDPR 和其他法規的行業標準模板掃描。

“類型”表示對應的那個基線標準，如 K.4.1.1 對應 Kubernetes CIS 基線測試，4.1.1 容器對應的基線標準爲 D 開頭，鏡像對應的基線標準爲 I 開頭。

注：GDPR （General Data Protection Regulation，《通用數據保護條例》）爲歐盟條例。

在合規性檢查中也會檢查是否存在密文泄漏情況。

包括如以下密文泄漏情況：

General Private Keys
General detection of credentials including 'apikey', 'api_key', 'password', 'secret', 'passwd' etc.
General passwords in yaml files including 'password', passwd', 'api_token' etc.
General secrets keys in key/value pairs
Putty Private key
Xml Private key
AWS credentials / IAM
Facebook client secret
Facebook endpoint secret
Facebook app secret
Twitter client Id
Twitter secret key
Github secret
Square product Id
Stripe access key
Slack API token
Slack web hooks
LinkedIn client Id
LinkedIn secret key
Google API key
SendGrid API key
Twilio API key
Heroku API key
MailChimp API key
MailGun API key

3.策略管理

NeuVector 通過組的方式對容器和主機進行管理，對組進行合規性檢查、網絡規則、進程和文件訪問規則、DLP/WAF 的檢測配置。

NeuVector 會自動將當前集羣主機加入到 nodes 組，對於集羣內容器會自動創建以 nv.開頭的組。

NeuVector 的組支持 3 種模式：學習模式、監控模式和保護模式；各個模式實現作用如下：

學習模式
學習和記錄容器、主機間網絡連接情況和進程執行信息。
自動構建網絡規則白名單，保護應用網絡正常行爲。
爲每個服務的容器中運行的進程設定安全基線，並創建進程配置文件規則白名單。
監控模式
NeuVector 監視容器和主機的網絡和進程運行情況，遇到非學習模式下記錄的行爲將在 NeuVector 中進行告警。
保護模式
NeuVector 監視容器和主機的網絡和進程運行情況，遇到非學習模式下記錄的行爲直接拒絕。

新建的容器業務被自動發現默認爲學習模式，也可以通過設置將默認模式設置爲監控模式或保護模式。

不同組策略衝突情況下，適用的有效模式如下表：

爲了保證業務的穩定運行，當出現模式不一致時，有效模式以限制最小的模式運行。

生產環境最佳實踐使用路徑可以是：

上新業務時，先學習模式運行一段時間，進行完整的功能測試和調用測試，得到實際運行此業務的網絡連接情況和進程執行情況信息。
監控模式運行一段時間，看看有沒有額外的特殊情況，進行判斷，添加規則。
最後全部容器都切換到保護模式，確定最終形態。

3.1. 動態微隔離

使用場景一：POD 間通過網絡策略互相隔離

在 Kubernetes 平臺中創建四個 Nginx，名稱和用途如下：
workload_name：test-web1 image:nginx   用途：web 服務器
workload_name：test-con1 image:nginx   用途：連接客戶端 1
workload_name：test-con2 image:nginx   用途：連接客戶端 2
workload_name：test-con3 image:nginx   用途：連接客戶端 3

創建 workload

kubectl create deployment test-web1 --image=nginx
kubectl expose deployment/test-web1 --port=80 --type=NodePort
kubectl create deployment test-con1 --image=nginx
kubectl create deployment test-con2 --image=nginx
kubectl create deployment test-con3 --image=nginx

此時在 NeuVector 中會自動生成這幾個組：

在 test-con1 中通過 curl 訪問 test-web1

此時可以正常訪問，因爲在學習模式下 NeuVector 也會自動添加此訪問規則。

將 test-web1 和 test-con2 都設置爲監控模式

然後在 test-con2 中 curl 訪問 test-web1

此時 test-con2 可以正常訪問 test-web1，但在 NeuVector 中會生成告警

同時，相應地，在網絡活動拓撲圖中也可以看見對應的連接鏈路變爲紅色。

將 test-web1 和 test-con2 都設置爲保護模式，在通過 test-con2 去 curl test-web1

因爲 curl 在學習模式時沒有使用，也不是 NeuVector 默認允許的可執行進程，所以進程直接就無法訪問了。

將 test-con1 設置爲保護模式，此時 test-con1 無法訪問外部網絡。

可以通過自定義添加網絡規則方式開通訪問。

在網絡規則頁，此處規則已經是在學習模式下生成的規則列表。

添加外部訪問規則

NeuVector 深度瞭解應用程序行爲，並將分析有效負載，以確定應用程序協議。協議包括：HTTP，HTTPS，SSL，SSH，DNS，DNCP，NTP，TFTP，ECHO，RTSP，SIP，MySQL，Redis，Zookeeper，Cassandra，MongoDB，PostgresSQL，Kafka，Couchbase，ActiveMQ，ElasticSearch，RabbitMQ，Radius，VoltDB，Consul，Syslog，Etcd，Spark，Apache，Nginx，Jetty，NodeJS，Oracle，MSSQL 和 GRPC。

現在 test-con1 的 curl 可以正常訪問 www.baidu.com

總結：
除上述策略外，NeuVector 也內置網絡威脅檢測，能夠快速識別常用網絡攻擊，保護業務容器安全運行。

無論保護模式如何，在“學習和監視”模式下，NeuVector 將發出警報，並且可以在“通知>安全事件”中找到這些威脅。在保護模式下將收到警報和阻止；還可以根據威脅檢測創建響應規則。

包含的威脅檢測如下：

SYN flood attack
ICMP flood attack
IP Teardrop attack
TCP split handshake attack
PING death attack
DNS flood DDOS attack
Detect SSH version 1, 2 or 3
Detect SSL TLS v1.0
SSL heartbeed attack
Detect HTTP negative content-length buffer overflow
HTTP smugging attack
HTTP Slowloris DDOS attack
TCP small window attack
DNS buffer overflow attack
Detect MySQL access deny
DNS zone transfer attack
ICMP tunneling attack
DNS null type attack
SQL injection attack
Apache Struts RCE attack
DNS tunneling attack
TCP Small MSS attack
Cipher Overflow attack
Kubernetes man-in-the-middle attack per CVE-2020-8554