Kubernetesの概要

Tenable では、Kubernetes 環境 を接続するためのさまざまな方法 を提供しています。所属組織に最適な方法は、クラスターアーキテクチャ、セキュリティ要件、および有効にする Kubernetes Admission Controller やセンサーベースのスキャンなどの特定の機能によって異なります。

  • クラウドベース (エージェントレス): この方法では、クラウドネイティブ API (Amazon EKS、Azure AKS、Google GKE、Oracle OKEなど) を使用して、クラウド IAM を通じて Kubernetes API にアクセスします。この方法を使用すると、環境にソフトウェアをインストールすることなくクラスターを検出してスキャンできます。
  • Helm チャートベース (センサーベース): このメソッドは、プライベートまたはオンプレミスクラスターに必要です。また、 アドミッションコントローラーの概要 や他の Kubernetesのセキュリティ機能を有効にする必要もあります。

詳細については、 Kubernetesを参照してください。

クラスター検出

Tenable は、ホスティング環境に基づいて、3 つの異なる方法で、 インベントリ ページにクラスターを検出して表示します。

  • クラウド管理クラスター (AWS、 Azure、 GCP、 OCI): Tenable が自動的にこれらのクラスターを検出し、関連するクラウドアカウントを接続するとすぐに、 [インベントリ] ページにそれらを表示します。
  • サポートされていないクラウドプロバイダー: プラットフォームが現在 API ベースの検出でサポートしていないクラウドプロバイダーを使用している場合、 Helm チャートを介してクラスタを接続する チャートを使用してクラスターを接続できます。この方法で接続されたクラスターは、 コンソール内でオンプレミスとして分類されるアカウントに関連付けられます。
  • 管理 (プライベート) およびオンプレミス クラスター: これらの環境は、 Helm チャートを介してクラスタを接続する チャートを介してクラスターを Tenable に接続した後にのみ [インベントリ] ページに表示されます。

Kubernetesのセキュリティ機能

検出は高いレベルの可視性を提供しますが、追加のセキュリティ機能を有効にして環境をより強力に保護できます。

  • Resource Sync: クラスターデータを と同期することで、Kubernetes リソースの可視性を提供します Tenable。これにより、リソースインベントリに環境の現在の状態が確実に反映されます。
  • 脅威検出: eBPF センサーを介してシステムレベルのアクティビティを監視し、ほぼリアルタイムで悪意のあるまたは不審なアクティビティを検出します。
  • アドミッションコントローラーの概要: API リクエストを傍受し、セキュリティポリシーに基づいて準拠するリソースのみがデプロイされるようにします。
  • ワークロード保護: Kubernetes ノードと実行中のコンテナイメージをスキャンして、脆弱性とセキュリティ設定ミスを検出します。
注意: Kubernetes 脅威検出、 アドミッションコントローラーの概要 、センサーベースのワークロード保護を有効にするには、Helm チャートを介してクラスタを接続する チャートを使用してセンサーをインストールする必要があります。これは、すべてのクラウドプロバイダーとクラスタタイプに適用されます。

以下のセクションを使用して、リソース同期、ランタイム検出、ワークロード保護、および追加のセキュリティ機能を行うために、Helm チャート (センサーベース) とクラウドネイティブ (エージェントレス) のどちらの方法を使用するかを決定します。

Helm Chart の統合が必要な場合

Helm チャートの統合により、セキュリティポスチャーが基本的なメタデータ検出だけでなく、包括的なディープスキャン分析に拡張されます。次のシナリオでは、この統合方法を選択する必要があります。

  • 接続の確立: クラスタが以下の場合は、このメソッドを使用します。
    • マネージド (プライベート): API サーバーがインターネットからアクセスできないマネージド (プライベート) クラスタを使用します。
    • オンプレミス: プライベートデータセンターなど、カスタマーマネージドのリソースでインフラをホストします。
  • Kubernetes 固有の機能の有効化: 脅威検出、アドミッションコントローラーの概要、脆弱性管理などの機能を有効化します。
  • 以下に挙げるような高度なセキュリティ要件またはコンプライアンス要件に対応します。
    • リアルタイムポリシーの実施: Kubernetes アドミッションコントローラーの概要に必要です。
    • 詳細な設定の可視性: ロールベースのアクセス制御 (RBAC) とクラスタ設定に関する詳細な文脈情報を提供します。

詳細については、Kubernetesクラスターを接続するを参照してください。

Kubernetesクラスターを接続する

クラスタを接続する前に、デプロイメントモデルに Helm チャートメソッドが必要かどうかを確認してください。プライベートクラスタ、オンプレミス環境、およびクラウドネイティブ API メソッドがサポートされていない特定のセキュリティ機能には、Kubernetes クラスタ Helm チャートを使用します。

Kubernetes のリソース同期とワークロード保護

クラウドプロバイダー マネージド (パブリック) マネージド (プライベート) アンマネージド
AWS 1 適切なアクセス許可の付与 (エージェントレス) Helm チャートからのインストール (センサー) Helm チャートからのインストール (センサー)
Azure 2 適切なアクセス許可の付与 (エージェントレス) Helm チャートからのインストール (センサー) Helm チャートからのインストール (センサー)
GCP 3 適切なアクセス許可の付与 (エージェントレス) Helm チャートからのインストール (センサー) Helm チャートからのインストール (センサー)
OCI クラスタのアクセス許可を付与する (エージェントレス) Helm チャートからのインストール (センサー) Helm チャートからのインストール (センサー)
オンプレミスと、サポートされていないクラウドプラットフォームすべて 該当なし 該当なし Helm チャートからのインストール (センサー)

以下の機能は、脆弱性管理スキャンで現在サポートされていません。
AWS 1 - Fargate は脆弱性管理でサポートされていません。
Azure 2 - 仮想ノードは脆弱性管理でサポートされていません。
GCP 3 - Autopilot は脆弱性管理でサポートされていません。

注意: エージェントレスの統合は、脆弱性管理スキャンをサポートするうえで最も一般的かつ推奨されるアプローチですが、特定のシナリオではセンサーベースの設定が必要です。詳細については、エージェントレススキャンとエージェントベーススキャンの比較を参照してください。

ランタイム検出

脅威検出を使用するには、Helm を使用してセンサーをインストールする必要があります。この要件は、パブリック、プライベート、アンマネージド Kubernetes と OpenShift クラスタにおける、サポート対象のすべてのクラウドプロバイダーに適用されます。

接続用に Helm ベースのセンサーを使用している場合、別途インストールを行う必要はありません。代わりに、既存のデプロイメントをランタイムフラグで更新してください。インストールまたは更新を実行するときには、ランタイムセキュリティを有効にするために --set sensor.runtimeDetection=true フラグを含めてください。

詳細については、Kubernetes ランタイム検出センサーのインストールを参照してください。

アドミッションコントローラー

アドミッションコントローラーの概要を使用するには、Helm を使用してセンサーをインストールする必要があります。この要件は、パブリック、プライベート、アンマネージド Kubernetes と OpenShift クラスタにおける、サポート対象のすべてのクラウドプロバイダーに適用されます。

詳細については、アドミッションコントローラーのインストールを参照してください。