Halaman ini diterjemahkan oleh Cloud Translation API.

Menggunakan batasan kebijakan MITRE

Pengontrol Kebijakan dilengkapi library default berisi template batasan yang dapat digunakan bersama paket kebijakan MITRE untuk mengevaluasi kepatuhan resource cluster Anda terhadap beberapa aspek basis pengetahuan MITRE mengenai taktik dan teknik penyerang berdasarkan pengamatan dunia nyata.

Batasan paket kebijakan MITRE

Nama Batasan	Deskripsi Batasan
Mitre-v2024-apparmor	Membatasi profil `AppArmor` untuk Pod.
mitre-v2024-block-all-ingress	Membatasi pembuatan objek Ingress.
mitre-v2024-cronjob-restrict-repos	Membatasi image container untuk `CronJob` ke daftar `repos` yang diizinkan.
mitre-v2024-no-anonymous	Tidak mengizinkan pengaitan resource `ClusterRole` dan `Role` ke pengguna `system:anonymous` dan grup `system:unauthenticated`.
mitre-v2024-host-namespaces-host-pid-ipc	Penampung tidak dapat dijalankan dengan `hostPID` atau `hostIPC` ditetapkan ke `true`.
mitre-v2024-host-namespaces-hostnetwork	Penampung tidak dapat dijalankan dengan `hostNetwork` ditetapkan ke `true`.
mitre-v2024-host-ports	`HostPorts` seharusnya tidak diizinkan, atau setidaknya dibatasi untuk daftar yang diketahui.
mitre-v2024-no-secrets-as-env-vars	Membatasi penggunaan secret sebagai variabel lingkungan dalam definisi container.
mitre-v2024-privileged-containers	Membatasi penampung dengan `securityContext.privileged` yang ditetapkan ke `true`.
mitre-v2024-proc-mount-type	Mask `/proc` default mengurangi permukaan serangan, dan bersifat wajib.
mitre-v2024-require-binauthz	Memerlukan Webhook Pendaftaran Validasi Otorisasi Biner.
mitre-v2024-require-namespace-networkpolicy	Mengharuskan setiap namespace yang ditentukan di cluster memiliki NetworkPolicy.
mitre-v2024-restrict-admission-controller	Membatasi penggunaan pengontrol penerimaan dinamis dan webhook.
mitre-v2024-restrict-automountserviceaccounttoken	Membatasi penggunaan token akun layanan.
mitre-v2024-restrict-capabilities	Penambahan kemampuan di luar yang tercantum tidak diizinkan.
mitre-v2024-restrict-cluster-admin-role	Membatasi penggunaan peran `cluster-admin`.
mitre-v2024-restrict-hostpath-volumes	Membatasi penggunaan volume `HostPath`.
mitre-v2024-restrict-kubernetes-dashboard-namespace	Membatasi penggunaan namespace `kubernetes-dashboard`.
mitre-v2024-restrict-pods-exec	Membatasi penggunaan `pods/exec` di `Roles` dan `ClusterRoles`.
mitre-v2024-restrict-rbac-subjects	Membatasi penggunaan nama dalam subjek RBAC ke nilai yang diizinkan.
mitre-v2024-restrict-repos	Membatasi image container ke daftar `repos` yang diizinkan.
mitre-v2024-restrict-role-secrets	Membatasi penggunaan secret di `Roles` dan `ClusterRoles`.
mitre-v2024-restrict-windows-hostprocess	Membatasi pengoperasian container / pod Windows HostProcess
Mitre-v2024-seccomp	Profil Seccomp tidak boleh disetel ke `Unconfined`.
Mitre-v2024-selinux	Tidak dapat menetapkan jenis SELinux atau menetapkan opsi pengguna atau peran SELinux kustom.
Mitre-V2024-Sysctls	Container hanya dapat menetapkan sistem yang tercantum di kolom `allowedSysctls`.

Sebelum memulai

Instal dan inisialisasi Google Cloud CLI, yang menyediakan perintah gcloud dan kubectl yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah diinstal sebelumnya.
Instal Pengontrol Kebijakan v1.17.2 atau yang lebih baru di cluster Anda dengan library default template batasan. Anda juga harus mengaktifkan dukungan untuk batasan referensi karena paket ini berisi batasan referensial.

Mengonfigurasi Pengontrol Kebijakan untuk batasan referensial

Simpan manifes YAML berikut ke file sebagai policycontroller-config.yaml. Manifes mengonfigurasi Pengontrol Kebijakan untuk mengawasi jenis objek tertentu.

apiVersion: config.gatekeeper.sh/v1alpha1
kind: Config
metadata:
  name: config
  namespace: "gatekeeper-system"
spec:
  sync:
    syncOnly:
      - group: "networking.k8s.io"
        version: "v1"
        kind: "NetworkPolicy"
      - group: "admissionregistration.k8s.io"
        version: "v1"
        kind: "ValidatingWebhookConfiguration"

Terapkan manifes policycontroller-config.yaml:

kubectl apply -f policycontroller-config.yaml

Paket kebijakan Audit MITRE

Dengan Pengontrol Kebijakan, Anda dapat menerapkan kebijakan untuk cluster Kubernetes Anda. Untuk membantu menguji beban kerja Anda dan kepatuhannya terhadap kebijakan MITRE yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkap pelanggaran dan yang lebih penting, memberi Anda kesempatan untuk memperbaikinya sebelum menerapkannya di cluster Kubernetes Anda.

Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction yang ditetapkan ke dryrun menggunakan kubectl, kpt, atau Config Sync.

kubectl

(Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:

kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024

Terapkan batasan kebijakan dengan kubectl:

kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024

Output-nya adalah sebagai berikut:

k8sallowedrepos.constraints.gatekeeper.sh/mitre-v2024-restrict-repos created
k8sblockallingress.constraints.gatekeeper.sh/mitre-v2024-block-all-ingress created
k8scronjoballowedrepos.constraints.gatekeeper.sh/mitre-v2024-cronjob-restrict-repos created
k8sdisallowanonymous.constraints.gatekeeper.sh/mitre-v2024-no-anonymous created
k8snoenvvarsecrets.constraints.gatekeeper.sh/mitre-v2024-no-secrets-as-env-vars created
k8spspapparmor.constraints.gatekeeper.sh/mitre-v2024-apparmor created
k8spspcapabilities.constraints.gatekeeper.sh/mitre-v2024-restrict-capabilities created
k8spspforbiddensysctls.constraints.gatekeeper.sh/mitre-v2024-sysctls created
k8spsphostfilesystem.constraints.gatekeeper.sh/mitre-v2024-restrict-hostpath-volumes created
k8spsphostnamespace.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-host-pid-ipc created
k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-hostnetwork created
k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-ports created
k8spspprivilegedcontainer.constraints.gatekeeper.sh/mitre-v2024-privileged-containers created
k8spspprocmount.constraints.gatekeeper.sh/mitre-v2024-proc-mount-type created
k8spspselinuxv2.constraints.gatekeeper.sh/mitre-v2024-selinux created
k8spspseccomp.constraints.gatekeeper.sh/mitre-v2024-seccomp created
k8spspwindowshostprocess.constraints.gatekeeper.sh/mitre-v2024-restrict-windows-hostprocess created
k8srequirebinauthz.constraints.gatekeeper.sh/mitre-v2024-require-binauthz created
k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/mitre-v2024-require-namespace-networkpolicy created
k8srestrictadmissioncontroller.constraints.gatekeeper.sh/mitre-v2024-restrict-admission-controller created
k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/mitre-v2024-restrict-automountserviceaccounttoken created
k8srestrictnamespaces.constraints.gatekeeper.sh/mitre-v2024-restrict-kubernetes-dashboard-namespace created
k8srestrictrbacsubjects.constraints.gatekeeper.sh/mitre-v2024-restrict-rbac-subjects created
k8srestrictrolebindings.constraints.gatekeeper.sh/mitre-v2024-restrict-cluster-admin-role created
k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-pods-exec created
k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-role-secrets created

Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

kubectl get constraints -l policycontroller.gke.io/bundleName=mitre-v2024

Outputnya mirip dengan hal berikut ini:

NAME                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8sallowedrepos.constraints.gatekeeper.sh/mitre-v2024-restrict-repos   dryrun               0

NAME                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8sblockallingress.constraints.gatekeeper.sh/mitre-v2024-block-all-ingress   dryrun               0

NAME                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8scronjoballowedrepos.constraints.gatekeeper.sh/mitre-v2024-cronjob-restrict-repos   dryrun               0

NAME                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8sdisallowanonymous.constraints.gatekeeper.sh/mitre-v2024-no-anonymous   dryrun               0

NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8snoenvvarsecrets.constraints.gatekeeper.sh/mitre-v2024-no-secrets-as-env-vars   dryrun               0

NAME                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspapparmor.constraints.gatekeeper.sh/mitre-v2024-apparmor   dryrun               0

NAME                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspcapabilities.constraints.gatekeeper.sh/mitre-v2024-restrict-capabilities   dryrun               0

NAME                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspforbiddensysctls.constraints.gatekeeper.sh/mitre-v2024-sysctls   dryrun               0

NAME                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spsphostfilesystem.constraints.gatekeeper.sh/mitre-v2024-restrict-hostpath-volumes   dryrun               0

NAME                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spsphostnamespace.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-host-pid-ipc   dryrun               0

NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-hostnetwork   dryrun               0
k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-ports                    dryrun               0

NAME                                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspprivilegedcontainer.constraints.gatekeeper.sh/mitre-v2024-privileged-containers   dryrun               0

NAME                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspprocmount.constraints.gatekeeper.sh/mitre-v2024-proc-mount-type   dryrun               0

NAME                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspseccomp.constraints.gatekeeper.sh/mitre-v2024-seccomp   dryrun               0

NAME                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspselinuxv2.constraints.gatekeeper.sh/mitre-v2024-selinux   dryrun               0

NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspwindowshostprocess.constraints.gatekeeper.sh/mitre-v2024-restrict-windows-hostprocess   dryrun               0

NAME                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequirebinauthz.constraints.gatekeeper.sh/mitre-v2024-require-binauthz   dryrun               0

NAME                                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/mitre-v2024-require-namespace-networkpolicy   dryrun               0

NAME                                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictadmissioncontroller.constraints.gatekeeper.sh/mitre-v2024-restrict-admission-controller   dryrun               0

NAME                                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/mitre-v2024-restrict-automountserviceaccounttoken   dryrun               0

NAME                                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictnamespaces.constraints.gatekeeper.sh/mitre-v2024-restrict-kubernetes-dashboard-namespace   dryrun               0

NAME                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictrbacsubjects.constraints.gatekeeper.sh/mitre-v2024-restrict-rbac-subjects   dryrun               0

NAME                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictrolebindings.constraints.gatekeeper.sh/mitre-v2024-restrict-cluster-admin-role   dryrun               0

NAME                                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-pods-exec      dryrun               0
k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-role-secrets   dryrun               0

kpt

Penginstalan dan penyiapan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Download paket kebijakan MITRE dari GitHub menggunakan kpt:

kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024

Jalankan fungsi set-enforcement-action kpt untuk menetapkan tindakan penegakan kebijakan ke dryrun:

kpt fn eval mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
  -- enforcementAction=dryrun

Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:
```
cd mitre-v2024
kpt live init
```
Terapkan batasan kebijakan dengan kpt:
```
kpt live apply
```
Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:
```
kpt live status --output table --poll-until current
```
Status CURRENT mengonfirmasi penginstalan batasan yang berhasil.

Config Sync

Penginstalan dan penyiapan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

Ubah ke direktori sinkronisasi untuk Config Sync:
```
cd SYNC_ROOT_DIR
```
Catatan: Kpt v1.0.0-beta.17 dan yang lebih baru secara otomatis membuat file resourcegroup.yaml selama live init yang tidak seharusnya diperiksa ke dalam repositori Config Sync Anda. Jika belum ada, tambahkan resourcegroup.yaml ke file .gitignore repo Anda.

Untuk membuat atau menambahkan .gitignore dengan resourcegroup.yaml:
```
echo resourcegroup.yaml >> .gitignore
```
Buat direktori policies khusus:
```
mkdir -p policies
```

Download paket kebijakan MITRE dari GitHub menggunakan kpt:

kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024 policies/mitre-v2024

Jalankan fungsi set-enforcement-action kpt untuk menetapkan tindakan penegakan kebijakan ke dryrun:

kpt fn eval policies/mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun

(Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:

kpt live init policies/mitre-v2024
kpt live apply --dry-run policies/mitre-v2024

Jika direktori sinkronisasi Anda untuk Config Sync menggunakan Kustomize, tambahkan policies/mitre-v2024 ke kustomization.yaml root Anda. Jika tidak, hapus file policies/mitre-v2024/kustomization.yaml:
```
rm SYNC_ROOT_DIR/policies/mitre-v2024/kustomization.yaml
```

Kirim perubahan ke repositori Config Sync:

git add SYNC_ROOT_DIR/policies/mitre-v2024
git commit -m 'Adding MITRE policy audit enforcement'
git push

Verifikasi status penginstalan:

watch gcloud beta container fleet config-management status --project PROJECT_ID

Status SYNCED mengonfirmasi penginstalan kebijakan.

Lihat pelanggaran kebijakan

Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran pada cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.

Anda juga dapat menggunakan kubectl untuk melihat pelanggaran di cluster menggunakan perintah berikut:

kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

Jika ada pelanggaran, listingan pesan pelanggaran per batasan dapat dilihat dengan:

kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Ubah tindakan penegakan paket kebijakan MITRE

Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan untuk mengubah mode penerapan sehingga Pengontrol Pendaftaran akan warn aktif atau bahkan deny memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.

kubectl

Gunakan kubectl untuk menetapkan tindakan penerapan kebijakan ke warn:

kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'

Pastikan tindakan penerapan batasan kebijakan telah diperbarui:

kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024

kpt

Jalankan fungsi set-enforcement-action kpt untuk menetapkan tindakan penegakan kebijakan ke warn:
```
kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
```
Terapkan batasan kebijakan:
```
kpt live apply
```

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

Ubah ke direktori sinkronisasi untuk Config Sync:
```
cd SYNC_ROOT_DIR
```

Jalankan fungsi set-enforcement-action kpt untuk menetapkan tindakan penegakan kebijakan ke warn:

kpt fn eval policies/mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn

Kirim perubahan ke repositori Config Sync:

git add SYNC_ROOT_DIR/policies/mitre-v2024
git commit -m 'Adding MITRE policy bundle warn enforcement'
git push

Verifikasi status penginstalan:
```
gcloud alpha anthos config sync repo list --project PROJECT_ID
```
Repositori Anda yang muncul di kolom SYNCED akan mengonfirmasi penginstalan kebijakan.

Menguji penegakan kebijakan

Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

Pengontrol penerimaan harus menghasilkan peringatan yang mencantumkan pelanggaran kebijakan yang dilanggar oleh resource ini, seperti ditunjukkan dalam contoh berikut:

Warning: [mitre-v2024-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/gke-on-prem-release/", "gcr.io/gke-multi-cloud-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"]
pod/wp-non-compliant created

Menghapus paket kebijakan MITRE

Jika diperlukan, paket kebijakan MITRE dapat dihapus dari cluster.

kubectl

Gunakan kubectl untuk menghapus kebijakan:

kubectl delete constraint -l policycontroller.gke.io/bundleName=mitre-v2024

kpt

Hapus kebijakan:
```
kpt live destroy
```

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

Kirim perubahan ke repositori Config Sync:

git rm -r SYNC_ROOT_DIR/policies/mitre-v2024
git commit -m 'Removing MITRE policies'
git push

Verifikasi statusnya:
```
gcloud alpha anthos config sync repo list --project PROJECT_ID
```
Repositori Anda yang muncul di kolom SYNCED akan mengonfirmasi penghapusan kebijakan.