De cloud-native omgeving beveiligen, is een lastige taak als we Emily Fox geloven. Zij nam het publiek op KubeCon 2022 mee op een uitstapje naar een verrassende plaats: de jungle. Als een echte gids kreeg ze alle aanwezigen veilig van het begin naar het einde, waar een geschenk in de vorm van tips stond te wachten. Vandaag nemen we zelf de gidsrol op en loodsen wij je door hetzelfde verhaal.
Als een enorme groep ontwikkelaars samen aanwezig is op KubeCon 2022 is het onmogelijk één onderwerp niet te bespreken: de beveiliging. Dat zal Emily Fox, Security Engineer bij Apple, toch gedacht hebben terwijl ze haar ochtendpresentatie voor donderdag voorbereidde.
Zij zet de beveiliging in de cloud-native omgeving scherp en spottend in de kijker door de vergelijking aan te gaan met de jungle. Beide plekken zijn onvoorspelbaar en herbergen het gevaar waar een doorreizende het niet verwacht.
Navigeren zonder bewegwijzering
“Wat we nodig hebben is een gids die ons het pad wijst”, aldus Fox. Laat die bewegwijzering nu net iets zijn dat op de eerder brave fietspaden van België wel te vinden is, maar ontbreekt in de cloud-native omgeving en in de jungle.
Volgens Fox raken zelfs de gidsen zelf daardoor het pad wel eens kwijt: “We hebben de gids nodig, maar die kan zelf spartelen met de grootte en de complexiteit van de cloud-native omgeving.”
lees ook
Bouwen op de cloudomgeving: cloud-native applicaties uitgelegd
Het ontstaan van de jungle
Wat maakt die cloud-native omgeving nu precies zo moeilijk om te beveiligen? Fox legde haar vinger er niet direct op en dus voelden we ons genoodzaakt om af te spreken met Kirsten Newcomer, Director DevSecOps Strategy bij Red Hat en een persoon die vol passie kan vertellen over cloud-native en opensource.
Ondertussen is de namiddag al aangebroken en drijft de scherpe lentezon in Valencia de aanwezigen naar de strandstoelen in de schaduw. Gelukkig zijn de hersenen van Newcomer nog niet in zomerstand gesprongen en kan ze ons helder antwoorden op de vraag.
Newcomer is ondanks haar naam geen groentje in het vak en neemt ons in haar antwoord even mee naar de dagen van weleer, waarin virtuele machines (VM’s) nog het nieuwste van het nieuwste waren: “Mensen herinneren zich dit niet meer maar toen de overstap werd gemaakt naar VM’s, moesten de tools snel bijbenen om ermee te kunnen werken.”
Voor de VM’s waren de principes over hoe beveiliging benaderd werd prima, maar de tools werkten vaak niet goed in een Kubernetes-omgeving.
Kirsten Newcomer, Director DevSecOps Strategy bij Red Hat
“De opkomst van containers en Kubernetes bracht dus een nieuw technisch paradigma. Voor de nieuwe omgeving waren de principes over hoe beveiliging benaderd werd prima, maar de tools werkten vaak niet goed in een Kubernetes-omgeving.”
Het gevaar van de jungle
‘Kub’ zoals Newcomer Kubernetes graag afkort, bleek een lastige omgeving voor de traditionele tools. Ze legt ons verder uit hoe dat komt: “Kub is een declaratieve omgeving.” Ze verwijst hiermee naar de gebruikte programmeertaal in de software. Die beschrijft op een hoog en abstract niveau wat er moet gebeuren, maar bevat geen details over de weg naar het einddoel.
Aan de hand van een voorbeeld legt ze uit waarom dat problemen kan veroorzaken: “Als een running instance van een toepassing uitvalt, zal deze automatisch opnieuw worden geïmplementeerd vanuit de image. Het doel is duidelijk, maar de stappen ernaar toe niet. Je weet dus niet zomaar waar de runtime binnen de grote cluster zal leven. Beveiligingstools die moeten weten waar de applicatie is en welk IP-adres de applicatie gebruikt, vertalen daarom niet goed naar de Kubernetes-omgeving.”
Kubernetes is volgens haar een geheimzinnige plaats. Als ontwikkelaar is het zo goed als onmogelijk op te volgen met welke dependencies een applicatie vasthangt. Dat is niet vreemd want zelfs de tools worstelen ermee.
lees ook
Kubernetes: wat is het en waarom verovert het in snel tempo de wereld?
Tot slot herhaalt Newcomer een waarschuwing die CNCF uitbracht na een beveiligingsaudit te hebben uitgevoerd in 2019: “Kubernetes bevat heel veel componenten die samenwerken met het onderliggende besturingssysteem. Als je als ontwikkelaar de configuraties niet met de nodige zorg instelt, loop je meer risico.”
Tips van de gids
Fox geeft die ochtend wel nog enkele tips over het beveiligen van de cloud-native omgeving en duwt zichzelf daarmee even in de rol van de gids die zo noodzakelijk is. “Definieer eerst je project: wat moet het precies doen? Alleen als dat duidelijk is, kan de juiste keuze gemaakt worden voor de beveiliging.”
Er is al wat tijd gegaan naar het definiëren van het project, maar ook de keuze van de juiste beveiliging gaat niet zomaar over één nacht ijs. “Het ergste dat je kan doen is stilstaan en het project op dezelfde manier beveiligen als je 20 jaar geleden deed. Kwetsbaarheden blijven niet decennia na decennia hetzelfde en veranderen zelfs jaarlijks.”
Definieer eerst je project: wat moet het precies doen? Alleen als dat duidelijk is, kan de juiste keuze gemaakt worden voor de beveiliging.
Emily Fox, Security Engineer bij Apple
Dat vraagt wat parate kennis over hoe het dreigingslandschap er vandaag de dag precies uitziet. Mist deze kennis, dan is het volgens Fox een slim idee om binnen je eigen bedrijf een onderzoek te starten. “Kijk naar andere projecten en use cases om te weten te komen welke beveiligingsopties gebruikelijk zijn en of deze werken.”
Fox is duidelijk een liefhebber van metaforen want net zoals ze haar presentatie met een metafoor begon, sluit ze er ook mee af. Ze laat deze keer de jungle links liggen en vat haar beveiligingsoplossingen nog een laatste keer samen met de beveiligingsbrug. De brug bouwen lukt pas als er een duidelijk beeld is van het project: wat is het en hoe moet het functioneren? Dezelfde brug kan ook geen jaren meegaan want de kwetsbaarheden evolueren van jaar tot jaar. Tenslotte is de brug te zwaar om alleen te bouwen, ga daarom op zoek naar voorbeelden in het veld en kijk wat zij deden om een project aan te pakken.