MITRE 정책 제약조건 사용

정책 컨트롤러는 MITRE 정책 번들과 함께 사용할 수 있는 제약조건 템플릿의 기본 라이브러리가 함께 제공되며, 이 라이브러리를 통해 클러스터 리소스가 실제 관찰에 기반한 공격자 전략 및 기법에 대한 MITRE 기술 자료의 일부 요소에 대해 규정을 준수하는지 감사할 수 있습니다.

이 페이지에는 정책 번들을 수동으로 적용하는 방법에 관한 안내가 포함되어 있습니다. 또는 정책 번들을 직접 적용할 수 있습니다.

MITRE 정책 번들 제약조건

제약조건 이름 제약조건 설명
mitre-v2024-apparmor 포드의 AppArmor 프로필을 제한합니다.
mitre-v2024-block-all-ingress 인그레스 객체 생성을 제한합니다.
mitre-v2024-cronjob-restrict-repos CronJob의 컨테이너 이미지를 허용된 'repos' 목록으로 제한합니다.
mitre-v2024-no-anonymous system:anonymous 사용자 및 system:unauthenticated 그룹에 대해 ClusterRole 및 Role 리소스 연결을 허용하지 않습니다.
mitre-v2024-host-namespaces-host-pid-ipc hostPID 또는 hostIPC가 true로 설정된 컨테이너는 실행할 수 없습니다.
mitre-v2024-host-namespaces-hostnetwork hostNetwork가 true로 설정된 컨테이너는 실행할 수 없습니다.
mitre-v2024-host-ports HostPorts는 허용되지 않거나 최소한 알려진 목록으로 제한되어야 합니다.
mitre-v2024-no-secrets-as-env-vars 컨테이너 정의에서 환경 변수로 보안 비밀을 사용하는 것을 제한합니다.
mitre-v2024-privileged-containers securityContext.privileged가 true로 설정된 컨테이너를 제한합니다.
mitre-v2024-proc-mount-type 기본 /proc 마스크는 공격 표면을 줄이며 필수 항목입니다.
mitre-v2024-require-binauthz 허용 웹훅 검증을 위한 Binary Authorization이 필요합니다.
mitre-v2024-require-namespace-networkpolicy 클러스터에 정의된 모든 네임스페이스에 NetworkPolicy가 있어야 합니다.
mitre-v2024-restrict-admission-controller 동적 허용 컨트롤러 및 웹훅 사용을 제한합니다.
mitre-v2024-restrict-automountserviceaccounttoken 서비스 계정 토큰 사용을 제한합니다.
mitre-v2024-restrict-capabilities 나열된 기능 이외의 기능을 추가하는 것은 허용되지 않습니다.
mitre-v2024-restrict-cluster-admin-role cluster-admin 역할 사용을 제한합니다.
mitre-v2024-restrict-hostpath-volumes HostPath 볼륨 사용을 제한합니다.
mitre-v2024-restrict-kubernetes-dashboard-namespace kubernetes-dashboard 네임스페이스 사용을 제한합니다.
mitre-v2024-restrict-pods-exec Roles 및 ClusterRoles에서 pods/exec 사용을 제한합니다.
mitre-v2024-restrict-rbac-subjects RBAC 주제에서 이름 사용을 허용된 값으로 제한합니다.
mitre-v2024-restrict-repos 컨테이너 이미지를 허용된 repos 목록으로 제한합니다.
mitre-v2024-restrict-role-secrets Roles 및 ClusterRoles에서 보안 비밀 사용을 제한합니다.
mitre-v2024-restrict-windows-hostprocess Windows HostProcess 컨테이너/포드의 실행을 제한합니다.
mitre-v2024-seccomp Seccomp 프로필을 Unconfined로 설정해서는 안 됩니다.
mitre-v2024-selinux SELinux 유형을 설정하거나 커스텀 SELinux 사용자 또는 역할 옵션을 설정할 수 없습니다.
mitre-v2024-sysctls 컨테이너는 allowedSysctls 필드에 나열된 sysctls만 설정할 수 있습니다.

시작하기 전에

  1. 이 안내에서 사용되는 gcloud 및 kubectl 명령어를 제공하는 Google Cloud CLI를 설치하고 초기화합니다. Cloud Shell을 사용하는 경우 Google Cloud CLI가 사전 설치됩니다.
  2. 기본 제약조건 템플릿 라이브러리를 사용하여 클러스터에 v1.17.2 이상의 정책 컨트롤러를 설치합니다. 이 번들에는 참조 제약조건이 포함되어 있으므로 참조 제약조건에 대한 지원을 사용 설정해야 합니다.

참조 제약조건에 맞게 정책 컨트롤러 구성

  1. 다음 YAML 매니페스트를 파일에 policycontroller-config.yaml로 저장합니다. 이 매니페스트는 특정 종류의 객체를 감시하도록 정책 컨트롤러를 구성합니다.

    apiVersion: config.gatekeeper.sh/v1alpha1
kind: Config
metadata:
  name: config
  namespace: "gatekeeper-system"
spec:
  sync:
    syncOnly:
      - group: "networking.k8s.io"
        version: "v1"
        kind: "NetworkPolicy"
      - group: "admissionregistration.k8s.io"
        version: "v1"
        kind: "ValidatingWebhookConfiguration"

  2. policycontroller-config.yaml 매니페스트를 적용합니다.

    kubectl apply -f policycontroller-config.yaml

MITRE 정책 번들 감사

정책 컨트롤러를 사용하면 Kubernetes 클러스터에 정책을 적용할 수 있습니다. 앞의 테이블에서 설명된 MITRE 정책과 관련하여 워크로드 및 규정 준수를 테스트하는 데 도움이 되도록, '감사' 모드에서 이러한 제약조건을 배포하여 위반 사항을 표시할 수 있고 더 중요하게는 Kubernetes 클러스터에 적용하기 전에 문제를 해결할 기회를 가질 수 있습니다.

kubectl, kpt 또는 구성 동기화를 사용하여 dryrun으로 설정된 spec.enforcementAction으로 이러한 정책을 적용할 수 있습니다.

kubectl

  1. (선택사항) kubectl을 사용하여 정책 제약조건을 미리 봅니다.

    kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024

  2. kubectl을 사용하여 정책 제약조건을 적용합니다.

    kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024

    출력은 다음과 같습니다.

    k8sallowedrepos.constraints.gatekeeper.sh/mitre-v2024-restrict-repos created
k8sblockallingress.constraints.gatekeeper.sh/mitre-v2024-block-all-ingress created
k8scronjoballowedrepos.constraints.gatekeeper.sh/mitre-v2024-cronjob-restrict-repos created
k8sdisallowanonymous.constraints.gatekeeper.sh/mitre-v2024-no-anonymous created
k8snoenvvarsecrets.constraints.gatekeeper.sh/mitre-v2024-no-secrets-as-env-vars created
k8spspapparmor.constraints.gatekeeper.sh/mitre-v2024-apparmor created
k8spspcapabilities.constraints.gatekeeper.sh/mitre-v2024-restrict-capabilities created
k8spspforbiddensysctls.constraints.gatekeeper.sh/mitre-v2024-sysctls created
k8spsphostfilesystem.constraints.gatekeeper.sh/mitre-v2024-restrict-hostpath-volumes created
k8spsphostnamespace.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-host-pid-ipc created
k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-hostnetwork created
k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-ports created
k8spspprivilegedcontainer.constraints.gatekeeper.sh/mitre-v2024-privileged-containers created
k8spspprocmount.constraints.gatekeeper.sh/mitre-v2024-proc-mount-type created
k8spspselinuxv2.constraints.gatekeeper.sh/mitre-v2024-selinux created
k8spspseccomp.constraints.gatekeeper.sh/mitre-v2024-seccomp created
k8spspwindowshostprocess.constraints.gatekeeper.sh/mitre-v2024-restrict-windows-hostprocess created
k8srequirebinauthz.constraints.gatekeeper.sh/mitre-v2024-require-binauthz created
k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/mitre-v2024-require-namespace-networkpolicy created
k8srestrictadmissioncontroller.constraints.gatekeeper.sh/mitre-v2024-restrict-admission-controller created
k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/mitre-v2024-restrict-automountserviceaccounttoken created
k8srestrictnamespaces.constraints.gatekeeper.sh/mitre-v2024-restrict-kubernetes-dashboard-namespace created
k8srestrictrbacsubjects.constraints.gatekeeper.sh/mitre-v2024-restrict-rbac-subjects created
k8srestrictrolebindings.constraints.gatekeeper.sh/mitre-v2024-restrict-cluster-admin-role created
k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-pods-exec created
k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-role-secrets created

  3. 정책 제약조건이 설치되었는지 확인하고 클러스터 전체에 위반 사항이 있는지 확인합니다.

    kubectl get constraints -l policycontroller.gke.io/bundleName=mitre-v2024

    출력은 다음과 비슷합니다.

    NAME                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8sallowedrepos.constraints.gatekeeper.sh/mitre-v2024-restrict-repos   dryrun               0

NAME                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8sblockallingress.constraints.gatekeeper.sh/mitre-v2024-block-all-ingress   dryrun               0

NAME                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8scronjoballowedrepos.constraints.gatekeeper.sh/mitre-v2024-cronjob-restrict-repos   dryrun               0

NAME                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8sdisallowanonymous.constraints.gatekeeper.sh/mitre-v2024-no-anonymous   dryrun               0

NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8snoenvvarsecrets.constraints.gatekeeper.sh/mitre-v2024-no-secrets-as-env-vars   dryrun               0

NAME                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspapparmor.constraints.gatekeeper.sh/mitre-v2024-apparmor   dryrun               0

NAME                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspcapabilities.constraints.gatekeeper.sh/mitre-v2024-restrict-capabilities   dryrun               0

NAME                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspforbiddensysctls.constraints.gatekeeper.sh/mitre-v2024-sysctls   dryrun               0

NAME                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spsphostfilesystem.constraints.gatekeeper.sh/mitre-v2024-restrict-hostpath-volumes   dryrun               0

NAME                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spsphostnamespace.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-host-pid-ipc   dryrun               0

NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-namespaces-hostnetwork   dryrun               0
k8spsphostnetworkingports.constraints.gatekeeper.sh/mitre-v2024-host-ports                    dryrun               0

NAME                                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspprivilegedcontainer.constraints.gatekeeper.sh/mitre-v2024-privileged-containers   dryrun               0

NAME                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspprocmount.constraints.gatekeeper.sh/mitre-v2024-proc-mount-type   dryrun               0

NAME                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspseccomp.constraints.gatekeeper.sh/mitre-v2024-seccomp   dryrun               0

NAME                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspselinuxv2.constraints.gatekeeper.sh/mitre-v2024-selinux   dryrun               0

NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspwindowshostprocess.constraints.gatekeeper.sh/mitre-v2024-restrict-windows-hostprocess   dryrun               0

NAME                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequirebinauthz.constraints.gatekeeper.sh/mitre-v2024-require-binauthz   dryrun               0

NAME                                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/mitre-v2024-require-namespace-networkpolicy   dryrun               0

NAME                                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictadmissioncontroller.constraints.gatekeeper.sh/mitre-v2024-restrict-admission-controller   dryrun               0

NAME                                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/mitre-v2024-restrict-automountserviceaccounttoken   dryrun               0

NAME                                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictnamespaces.constraints.gatekeeper.sh/mitre-v2024-restrict-kubernetes-dashboard-namespace   dryrun               0

NAME                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictrbacsubjects.constraints.gatekeeper.sh/mitre-v2024-restrict-rbac-subjects   dryrun               0

NAME                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictrolebindings.constraints.gatekeeper.sh/mitre-v2024-restrict-cluster-admin-role   dryrun               0

NAME                                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-pods-exec      dryrun               0
k8srestrictrolerules.constraints.gatekeeper.sh/mitre-v2024-restrict-role-secrets   dryrun               0

kpt

  1. kpt를 설치하고 설정합니다. 이 안내에서는 kpt를 사용하여 Kubernetes 리소스를 맞춤설정하고 배포합니다.

  2. kpt를 사용하여 GitHub에서 MITRE 정책 번들을 다운로드합니다.

    kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024

  3. set-enforcement-action kpt 함수를 실행하여 정책의 시행 작업을 dryrun으로 설정합니다.

    kpt fn eval mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
  -- enforcementAction=dryrun

  4. 변경사항을 추적하는 리소스를 만드는 kpt로 작업 디렉터리를 초기화합니다.

    cd mitre-v2024
kpt live init

  5. kpt로 정책 제약조건을 적용합니다.

    kpt live apply

  6. 정책 제약조건이 설치되었는지 확인하고 클러스터 전체에 위반 사항이 있는지 확인합니다.

    kpt live status --output table --poll-until current

    CURRENT 상태는 제약조건이 성공적으로 설치되었음을 확인합니다.

구성 동기화

  1. kpt를 설치하고 설정합니다. 이 안내에서는 kpt를 사용하여 Kubernetes 리소스를 맞춤설정하고 배포합니다.

구성 동기화를 사용하여 클러스터에 정책을 배포하는 운영자는 다음 안내를 따르세요.

  1. 구성 동기화의 동기화 디렉터리로 변경합니다.

    cd SYNC_ROOT_DIR

    resourcegroup.yaml로 .gitignore를 만들거나 추가하려면 다음 안내를 따르세요. 

    echo resourcegroup.yaml >> .gitignore

  2. 전용 policies 디렉터리를 만듭니다.

    mkdir -p policies

  3. kpt를 사용하여 GitHub에서 MITRE 정책 번들을 다운로드합니다.

    kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/mitre-v2024 policies/mitre-v2024

  4. set-enforcement-action kpt 함수를 실행하여 정책의 시행 작업을 dryrun으로 설정합니다.

    kpt fn eval policies/mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun

  5. (선택사항) 생성될 정책 제약조건을 미리 봅니다.

    kpt live init policies/mitre-v2024
kpt live apply --dry-run policies/mitre-v2024

  6. 구성 동기화의 동기화 디렉터리에 Kustomize가 사용되는 경우 루트 kustomization.yaml에 policies/mitre-v2024를 추가합니다. 그렇지 않으면 policies/mitre-v2024/kustomization.yaml 파일을 삭제합니다.

    rm SYNC_ROOT_DIR/policies/mitre-v2024/kustomization.yaml

  7. 구성 동기화 저장소에 변경사항을 푸시합니다.

    git add SYNC_ROOT_DIR/policies/mitre-v2024
git commit -m 'Adding MITRE policy audit enforcement'
git push

  8. 설치 상태를 확인합니다.

    watch gcloud beta container fleet config-management status --project PROJECT_ID

    SYNCED 상태는 정책 설치를 확인합니다.

정책 위반 보기

정책 제약조건이 감사 모드로 설치되면 정책 컨트롤러 대시보드를 사용하여 UI에서 클러스터의 위반 사항을 볼 수 있습니다.

또한 kubectl을 사용하여 다음 명령어를 사용하여 클러스터에서 위반 사항을 볼 수 있습니다.

kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

위반 사항이 있는 경우 제약조건당 위반 메시지 목록을 다음에서 볼 수 있습니다.

kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

MITRE 정책 번들 시행 작업 변경

클러스터에서 정책 위반을 검토한 후에는 허용 컨트롤러가 호환되지 않는 리소스가 클러스터에 적용되지 않도록 warn 또는 deny를 수행할 수 있도록 시행 모드 변경을 고려할 수 있습니다.

kubectl

  1. kubectl을 사용하여 정책의 시행 작업을 warn로 설정합니다.

    kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'

  2. 정책 제약조건 시행 작업이 업데이트되었는지 확인합니다.

    kubectl get constraint -l policycontroller.gke.io/bundleName=mitre-v2024

kpt

  1. set-enforcement-action kpt 함수를 실행하여 정책의 시행 작업을 warn으로 설정합니다.

    kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn

  2. 정책 제약조건을 적용합니다.

    kpt live apply

구성 동기화

구성 동기화를 사용하여 클러스터에 정책을 배포하는 운영자는 다음 안내를 따르세요.

  1. 구성 동기화의 동기화 디렉터리로 변경합니다.

    cd SYNC_ROOT_DIR

  2. set-enforcement-action kpt 함수를 실행하여 정책의 시행 작업을 warn으로 설정합니다.

    kpt fn eval policies/mitre-v2024 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn

  3. 구성 동기화 저장소에 변경사항을 푸시합니다.

    git add SYNC_ROOT_DIR/policies/mitre-v2024
git commit -m 'Adding MITRE policy bundle warn enforcement'
git push

  4. 설치 상태를 확인합니다.

    gcloud alpha anthos config sync repo list --project PROJECT_ID

    SYNCED 열에 표시된 저장소에서 정책 설치를 확인합니다.

테스트 정책 시행

다음 명령어를 사용하여 클러스터에 정책을 준수하지 않는 리소스를 만듭니다.

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

다음 예시와 같이 허용 컨트롤러는 이 리소스가 위반하는 정책 위반을 나열하는 경고를 생성해야 합니다.

Warning: [mitre-v2024-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/gke-on-prem-release/", "gcr.io/gke-multi-cloud-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"]
pod/wp-non-compliant created

MITRE 정책 번들 삭제

필요한 경우 클러스터에서 MITRE 정책 번들을 삭제할 수 있습니다.

kubectl

  • kubectl을 사용하여 정책을 삭제합니다.

    kubectl delete constraint -l policycontroller.gke.io/bundleName=mitre-v2024

kpt

  • 정책을 삭제합니다.

    kpt live destroy

구성 동기화

구성 동기화를 사용하여 클러스터에 정책을 배포하는 운영자는 다음 안내를 따르세요.

  1. 구성 동기화 저장소에 변경사항을 푸시합니다.

    git rm -r SYNC_ROOT_DIR/policies/mitre-v2024
git commit -m 'Removing MITRE policies'
git push

  2. 상태를 확인합니다.

    gcloud alpha anthos config sync repo list --project PROJECT_ID

    SYNCED 열에 표시된 저장소는 정책 삭제를 확인합니다.