Quelles sont les pratiques les plus importantes ?
Commencer par des images de base fiables et minimales.
Utilisez des images de base bien entretenues qui contiennent uniquement les paquets, bibliothèques et utilitaires nécessaires à l'application. Cela réduit la surface d'attaque et facilite l'application des correctifs.
Analyser les images et les dépendances avant le déploiement.
L'analyse doit permettre d'identifier les vulnérabilités connues, les informations confidentielles exposées et les erreurs de configuration évidentes avant que les artefacts ne progressent dans le pipeline. Cela ne couvre pas l'ensemble de la sécurité des conteneurs, mais reste l'une des mesures les plus pratiques pour réduire au plus tôt les risques évitables.
Traiter les manifestes Kubernetes et l'infrastructure en tant que code (IaC) comme des artefacts critiques pour la sécurité.
Les définitions des charges de travail (p. ex. Kubernetes, pods et autorisations), les charts Helm (configurations Kubernetes empaquetées), Terraform (provisionnement de l'infrastructure, notamment des ressources cloud et des réseaux) et les autres artefacts de déploiement (toute configuration utilisée pour mettre en service des systèmes) peuvent engendrer des problèmes de privilèges, de réseau et d'exposition bien avant l'exécution.
Appliquer le principe du moindre privilège dans le cluster.
Le RBAC de Kubernetes doit être conçu avec soin pour les utilisateurs, les comptes de service et les charges de travail. Des droits d'accès excessifs augmentent le risque d'utilisation abusive et d'élévation des privilèges.
Utiliser le contrôle des admissions et l'application des politiques.
Les règles de sécurité sont plus efficaces lorsqu'elles sont appliquées automatiquement au moment du déploiement. Les contrôles des admissions peuvent bloquer les ressources risquées avant leur admission dans le cluster, tandis que les moteurs de politiques peuvent contribuer à harmoniser les exigences entre les équipes et les environnements.
Segmenter les réseaux pour réduire le rayon d'impact.
Les politiques réseau doivent refléter les communications réelles des applications tout en limitant les flux est-ouest inutiles.
Surveiller le comportement à l'exécution.
L'analyse effectuée lors de la compilation ne permet pas de détecter tous les problèmes d'exécution. Les équipes doivent également disposer d'une visibilité sur le comportement des processus, les connexions, la consommation des ressources, les écarts par rapport aux politiques et les activités suspectes au sein des conteneurs en cours d'exécution. C'est pourquoi la surveillance de l'exécution doit aller au-delà de l'état des images et couvrir les applications en cours d'exécution, l'activité de l'orchestrateur et les communications entre les conteneurs.
Consigner suffisamment d'informations pour mener des investigations.
Les environnements de conteneurs et Kubernetes génèrent des journaux à plusieurs niveaux. Cette télémétrie est importante pour la détection et les investigations après incident.
Comment les équipes DevSecOps doivent-elles appliquer ces contrôles sans ralentir la livraison ?
L'approche la plus efficace consiste à appliquer le bon contrôle à la bonne étape.
Lors de la compilation, concentrez-vous sur l'hygiène des images, l'analyse des dépendances, la détection des secrets et la provenance des logiciels.
Lors du déploiement, concentrez-vous sur la validation des manifestes, l'application des politiques et le contrôle des admissions.
À l'exécution, concentrez-vous sur la surveillance du comportement, les alertes, la détection des dérives et la capacité à mener des investigations.
Une approche par étapes est importante, car tous les problèmes ne doivent pas passer par le même point de contrôle. Certains contrôles doivent bloquer le déploiement, tandis que d'autres doivent déclencher un examen, une correction ou une surveillance de l'exécution. Les équipes expérimentées distinguent les violations à corriger impérativement des problèmes présentant moins de risques, afin que les exigences de sécurité puissent être appliquées sans créer de goulot d'étranglement. Une approche par étapes est plus efficace lorsque les équipes utilisent des points de contrôle qualité pour les images et le code d'infrastructure, puis les associent à des contrôles à l'exécution et à des contrôles de conformité tout au long du cycle de vie.
À quoi ressemblent les bonnes pratiques dans les activités quotidiennes ?
Dans les environnements bien gérés, la sécurité des conteneurs n'est pas une opération distincte effectuée à la fin du cycle de publication – elle fait partie intégrante du développement et de la livraison des logiciels. Les développeurs savent quelles images de base sont approuvées, les pipelines CI exécutent automatiquement les vérifications, les équipes plateforme définissent clairement les garde-fous des clusters, et les équipes sécurité analysent les tendances, les exceptions et les faiblesses récurrentes, au lieu de se reposer uniquement sur des revues ponctuelles.
Ce rythme opérationnel est important, car le DevSecOps porte ses fruits lorsque les contrôles sont prévisibles. Les équipes acceptent bien plus facilement les exigences de sécurité lorsque celles-ci sont intégrées directement aux outils et aux workflows, plutôt qu'introduites tardivement sous forme d'objections.
Quels éléments les équipes doivent-elles examiner régulièrement ?
Les programmes efficaces de sécurité des conteneurs ne sont pas simplement lancés : ils sont maintenus dans la durée. Les équipes doivent examiner régulièrement les points suivants :
- les images qui sont approuvées et toujours utilisées
- si d’anciennes vulnérabilités sont reprises dans les nouvelles versions
- si les exceptions à la stratégie se multiplient au fil du temps
- si les comptes de service et les rôles disposent toujours de privilèges excessifs
- si les stratégies réseau correspondent toujours à la manière dont les charges de travail communiquent réellement
- si les alertes à l’exécution donnent lieu à des investigations utiles ou ne font que générer du bruit
- si la journalisation est suffisante pour la réponse aux incidents et l’analyse post-incident.
Ces points à examiner contribuent à prévenir la dérive des contrôles – sans eux, même des stratégies de sécurité judicieuses peuvent devenir obsolètes ou être appliquées de manière incohérente.
Les erreurs commises par les organisations
Une erreur courante consiste à déplacer la sécurité trop en amont et à supposer que ce qui se passe à l’exécution n’a plus d’importance. L’approche shift-left est utile, mais les conteneurs sont dynamiques et la visibilité à l’exécution reste essentielle pour détecter les comportements suspects, l’utilisation abusive des autorisations et les défaillances des contrôles qui n’apparaissent qu’après le déploiement.
Une autre erreur consiste à considérer la stratégie de sécurité comme une étape de vérification externe plutôt que comme un élément intégré au processus de livraison. Si les développeurs ne sont informés des violations qu’à la fin du processus, la correction devient plus lente et plus conflictuelle.
Une troisième erreur consiste à tenter de sécuriser les conteneurs sans sécuriser la plateforme qui les entoure. Les équipes DevSecOps peuvent améliorer la qualité des images, mais le contrôle d'accès au niveau des clusters, les politiques d'admission, la journalisation et la segmentation nécessitent toujours une étroite coordination avec les équipes plateforme et sécurité.
Que doit inclure une liste de contrôle DevSecOps pratique ?
Une liste de contrôle exploitable comprend généralement les éléments suivants :
- Images de base approuvées et provenance des images
- Analyse des images et des dépendances dans le cadre de la CI
- Détection des secrets avant la fusion ou la compilation
- Examen des manifestes et de l’IaC portant sur les paramètres de sécurité
- Configuration du RBAC selon le principe du moindre privilège et conception des comptes de service
- Contrôle d’admission pour imposer des garde-fous au déploiement
- Stratégies réseau pour isoler les charges de travail
- Surveillance à l’exécution de l’activité des conteneurs et des clusters
- Journalisation centralisée et préparation aux investigations
- Examen régulier des stratégies, des exceptions et des règles obsolètes.
Point clé à retenir
Les bonnes pratiques de sécurité des conteneurs pour les équipes DevSecOps reposent sur un modèle de livraison : sécuriser les inputs, appliquer des garde-fous au déploiement, surveiller le comportement en runtime, et maintenir une boucle de feedback suffisamment resserrée pour que les équipes d'ingénierie puissent corriger les problèmes avant qu'ils ne deviennent un risque en production.
Intégrez la sécurité des conteneurs à votre pipeline DevSecOps
L’efficacité du DevSecOps repose sur des contrôles de sécurité intégrés au processus de développement logiciel. Kaspersky Container Security aide les équipes à analyser les images de conteneurs, à détecter les vulnérabilités dans les conteneurs en cours d’exécution, à surveiller la consommation des ressources et les communications, ainsi qu’à automatiser les contrôles de sécurité et de conformité.
Sources et ressources complémentaires :
