آموزش دوره جامع متخصص امنیت کوبرنتیز (CKS) - آخرین آپدیت

سرفصل ها و درس ها

تبدیل شدن به متخصص تایید شده امنیت کوبرنتیز (CKS) Become a Certified Kubernetes Security Specialist (CKS)

• متخصص تایید شده امنیت کوبرنتیز (CKS) Certified Kubernetes Security Specialist (CKS)

ایجاد کلاستر کوبرنتیز Create Kubernetes Cluster

• ایجاد کلاستر کوبرنتیز و بررسی برخی خطاها Create Kubernetes Cluster and Look at Some Errors

راه‌اندازی کلاستر: استفاده از سیاست‌های امنیت شبکه برای محدود کردن دسترسی در سطح کلاستر Cluster Setup - Use Network Security Policies to Restrict Cluster Level Access

• مقدمه‌ای بر NetworkPolicy Introduction to NetworkPolicy

• ایجاد NetworkPolicy برای رد پیش‌فرض (Default Deny) Create Default Deny NetworkPolicy

• ایجاد قوانین Egress و Ingress Create Egress and Ingress Rules

• ایجاد یک Network Policy دیگر برای Namespaceهای مختلف Create Another Network Policy for Different Name Space

راه‌اندازی کلاستر: به حداقل رساندن استفاده و دسترسی به عناصر GUI Cluster Setup - Minimize Use of and Access to GUI Elements

• نصب داشبورد کوبرنتیز Install Kubernetes Dashboard

• دسترسی ناامن از بیرون Insecure Access from Outside

• پیاده‌سازی RBAC برای داشبورد کوبرنتیز RBAC for Kubernetes Dashboard

راه‌اندازی کلاستر: تنظیم صحیح اشیاء Ingress با کنترل امنیتی Cluster Setup - Properly Set Up Ingress Objects with Security Control

• ایجاد یک Ingress Create an Ingress

• ایمن‌سازی Ingress Secure an Ingress

محافظت از متادیتای نود و Endpointها Protect Node Metadata and Endpoints

• دسترسی به متادیتای نود Accessing Node Metadata

• محافظت از متادیتای نود از طریق NetworkPolicy Protect Node Metadata Through NetworkPolicy

استفاده از CIS Benchmark برای بررسی پیکربندی امنیتی اجزای کوبرنتیز Use CIS Benchmark to Review the Security Configuration of Kubernetes Components

• بررسی با kube bench kube-bench

تأیید فایل‌های باینری پلتفرم قبل از استقرار Verify Platform Binaries before Deploying

• نحوه حذف شبکه سفارشی How to Delete the Custom Network

• تأیید اجرای باینری apiserver در کلاستر Verify apiserver Binary Running in Our Cluster

سخت‌سازی کلاستر: RBAC Cluster Hardening - RBAC

• مفهوم RBAC: Role و Rolebinding RBAC - Role and Rolebinding

• Role و Rolebinding برای یک کاربر Role and Rolebinding for a User

• ClusterRole و ClusterRoleBinding ClusterRole and ClusterRoleBinding

• حساب‌ها و کاربران Accounts and Users

• درخواست‌های امضای گواهینامه (CSR) CertificateSigningRequests

احتیاط در استفاده از Service Accounts Exercise Caution in Using Service Accounts

• مقدمه Introduction

• استفاده Pod از ServiceAccount سفارشی Pod Uses Custom ServiceAccount

• غیرفعال کردن Mount کردن ServiceAccount Disable ServiceAccount Mounting

• محدود کردن مجوزهای ServiceAccount با RBAC برای ویرایش منابع Limit ServiceAccounts Permissions Using RBAC to Edit Resources

سخت‌سازی کلاستر: محدود کردن دسترسی به API Cluster Hardening - Restrict API Access

• فعال/غیرفعال کردن دسترسی ناشناس (Anonymous Access) Enable/Disable Anonymous Access

• انجام یک درخواست دستی API Let's Perform a Manual API Request

• دسترسی خارجی به APIserver External APIserver Access

• کنترل‌کننده پذیرش NodeRestriction NodeRestriction AdmissionController

سخت‌سازی کلاستر: ارتقای کوبرنتیز Cluster Hardening - Upgrade Kubernetes

• تأیید NodeRestriction Verify NodeRestriction

• مقدمه Introduction

• ایجاد کلاستر با نسخه قدیمی Create a Cluster with the Old Version

• ارتقای نودهای Master و Worker Upgrade Master and Worker Node

آسیب‌پذیری‌های میکروسرویس: مدیریت Secretهای کوبرنتیز Microservice Vulnerabilities - Manage Kubernetes Secrets

• ایجاد Secret Create Secret

• هک Secretها در Docker Hack Secrets in Docker

• هک Secretها در ETCD Hack Secrets in ETCD

• رمزنگاری ETCD ETCD Encryption

• رمزنگاری ETCD (بخش دوم) ETCD Encryption -2

استفاده از Sandboxهای Runtime کانتینر در محیط‌های چند مستاجری Use Container Runtime Sandboxes in a Multi-Tenant Environment

• فراخوانی کرنل لینوکس از داخل کانتینر Calling Linux Kernel from Inside a Container

• ابتکار کانتینر باز (OCI) Open Container Initiative (OCI)

• بررسی Crictl Crictl

• ایجاد و استفاده از RuntimeClasses Create and Use RuntimeClasses

آسیب‌پذیری‌های میکروسرویس: دامنه‌های امنیتی در سطح سیستم‌عامل Microservices Vulnerabilities - OS Level Security Domains

• تنظیم کاربر و گروه کانتینر (Security Context) Set Container User and Group (Security Context)

• اجبار کانتینر به Non-Root بودن Force Container Non-Root

• کانتینرهای Privileged Privileged Containers

• ارتقای سطح دسترسی (PrivilegeEscalation) PrivilegeEscalation

• ایجاد و فعال‌سازی PodSecurityPolicy Create and Enable PodSecurityPolicy

آسیب‌پذیری‌های میکروسرویس: mTLS Microservices Vulnerabilities - mTLS

• مقدمه Introduction

• ایجاد یک Sidecar Proxy Create a Sidecar Proxy

عامل سیاست‌گذاری باز (OPA) Open Policy Agent (OPA)

• مقدمه‌ای بر OPA Introduction OPA

• نصب OPA Gatekeeper Install OPA Gatekeeper

• سیاست رد همه (Deny All Policy) Deny All Policy

• اجباری کردن برچسب‌های Namespace Enforce Namespace Labels

امنیت زنجیره تأمین: کاهش حجم ایمیج (Image Footprint) Supply Chain Security - Image Footprint

• کاهش حجم ایمیج با Multi Stage Build Reduce Image Footprint with Multi-Stage

• ایمن‌سازی و سخت‌سازی ایمیج‌ها Secure and Harden Images

امنیت زنجیره تأمین: تحلیل استاتیک Supply Chain Security - Static Analysis

• بررسی Kubesec Kubesec

• استفاده از kubesec برای تحلیل استاتیک ایمیج داکر Use kubesec to Perform Static Analysis Using Docker Image

• بررسی OPA Conftest OPA Conftest

• استفاده از OPA Conftest برای Dockerfile OPA Conftest for Dockerfile

امنیت زنجیره تأمین: اسکن آسیب‌پذیری ایمیج Supply Chain Security - Image Vulnerability Scanning

• استفاده از Trivy برای اسکن ایمیج‌ها Use Trivy to Scan Images

امنیت زنجیره تأمین: زنجیره تأمین امن Supply Chain Security - Secure Supply Chain

• بررسی Image Digest Image Digest

• سفیدلیست کردن Registryها با OPA Whitelist Registries with OPA

تحلیل رفتاری در سطح هاست و کانتینر Behavioral Analytics at Host and Container Level

• بررسی Strace Strace

• استفاده از Strace و /proc در ETCD Strace and /proc on ETCD

• دسترسی به /proc و متغیرهای محیطی از داخل Pod Access /proc and env Variables from the Inside Pod

• بررسی FALCO FALCO

• استفاده از Falco برای یافتن پروسه‌های مخرب Use Falco to Find Malicious Processes

• بررسی قوانین Falco Investigate Falco Rules

• تغییر قوانین Falco Change Falco Rules

امنیت زمان اجرا: تغییرناپذیری کانتینرها در زمان اجرا Runtime Security - Immutability of Containers at Runtime

• مقدمه Introduction

• بررسی StartupProbe StartupProbe

• تغییرناپذیر کردن کانتینر با SecurityContext SecurityContext Renders Container Immutable

امنیت زمان اجرا: حسابرسی (Auditing) Runtime Security - Auditing

• مقدمه Introduction

• سیاست حسابرسی (Audit Policy) Audit Policy

• فعال‌سازی Audit Logging در Apiserver Enable Audit Logging in Apiserver

• ایجاد Secret و بررسی لاگ‌های حسابرسی Create a Secret and Check Audit Logs

سخت‌سازی سیستم: سخت‌سازی کرنل System Hardening - Kernel Hardening

• بررسی AppArmor AppArmor

• استفاده از AppArmor برای Curl AppArmor for Curl

• استفاده از AppArmor برای Docker Nginx AppArmor for Docker Nginx

• استفاده از AppArmor برای Kubernetes Nginx AppArmor for Kubernetes Nginx

• بررسی Seccomp Seccomp

• استفاده از Seccomp برای Docker Nginx Seccomp for Docker Nginx

• استفاده از Seccomp برای Kubernetes Nginx Seccomp for Kubernetes Nginx