A Darktrace viselkedésalapú védelmet terjeszt ki Kubernetesre
A Darktrace a Kubernetes környezetek futásidejű védelmével bővíti platformját. A vállalat szerint a Darktrace 7.2 a hálózati, folyamat- és vezérlősík aktivitását is figyeli, miközben viselkedésalapú észlelést, incidenskezelést és kriminalisztikai vizsgálatot kínál.
- A Darktrace 7.2 futásidejű Kubernetes-védelmet ad a Darktrace / HYBRID NETWORK platformhoz.
- A rendszer a hálózati, folyamat- és vezérlősík tevékenységét is figyeli.
- Az Adaptive AI szervezetenként egyedi viselkedési profilt épít fel.
- A platform konfigurációs kockázatokat és CVE-ket is összekapcsol a munkaterhelésekkel.
- A Kubernetes-konténerek vizsgálatához a Darktrace bizonyítékmegőrzést és automatizálható válaszlépéseket kínál.
A Kubernetes terjedése új biztonsági kihívásokat hoz
A Kubernetes a modern felhőalapú infrastruktúrák egyik alaptechnológiája, amely ügyféloldali alkalmazások, adatfolyamok és egyre gyakrabban mesterségesintelligencia-munkafolyamatok futtatását is szervezi. A Darktrace a Gartner előrejelzésére hivatkozva azt írja, hogy 2028-ra az új AI-telepítések 95 százaléka Kubernetesen futhat, szemben a jelenlegi 30 százalék alatti aránnyal.
A vállalat szerint a rendszer skálázhatósága és költséghatékonysága mellett a védelem is összetettebbé válik. A fürtökben csomópontok, klaszterek, konténerek, podok és munkaterhelések működnek együtt, miközben a podok akár néhány másodperc alatt létrejöhetnek és megszűnhetnek. Emiatt egy kompromittált konténer a részletes vizsgálat idejére már eltűnhet.
A konténerek a virtuális gépeknél könnyebb, megosztott kernelre épülő elszigetelést használnak. A Darktrace szerint ez hatékonyabb működést tesz lehetővé, ugyanakkor egy feltört konténer nagyobb hatással lehet a csomópontra és a szomszédos munkaterhelésekre. A Kubernetes vezérlősíkja és a mikroszolgáltatások közötti kommunikáció API-kon zajlik, ami dinamikus támadási felületet alakít ki.
Viselkedési profilok alapján keresik az eltéréseket
A Darktrace 7.2 kiadásával a vállalat szerint a Darktrace / HYBRID NETWORK viselkedésalapú biztonsági képességeket terjeszt ki a Kubernetesre. A megközelítés alapja, hogy az Adaptive AI minden szervezet számára egyedi viselkedési profilt épít fel, és megtanulja a klaszterben működő munkaterhelések, csomópontok és identitások szokásos működését.
Ennek alapján gyanús eltérésként jelenhet meg például, ha egy pod korábban ismeretlen célhoz kapcsolódik, egy munkaterhelésben váratlan végrehajtható fájl indul el, vagy egy identitás olyan műveletet hajt végre, amelyet korábban nem végzett. A Darktrace szerint ehhez nem kell minden lehetséges támadási mintához előre szabályt írni.
A rendszer három szinten biztosít futásidejű láthatóságot. A hálózati réteg a podok közötti, a csomópontokon átmenő és az internet felé irányuló forgalmat figyeli. A folyamatréteg azt vizsgálja, mi fut a konténerekben, például történik-e érzékeny hitelesítőadat-fájl olvasása vagy váratlan parancsértelmező indítása. A vezérlősík a Kubernetes API-val kapcsolatos tevékenységeket, köztük a futó podokon végrehajtott parancsokat, az RBAC-módosításokat és a szokatlan adminisztrátori műveleteket követi.
Kockázati kontextus és Kubernetesre szabott válaszlépések
A Darktrace a futásidejű észlelést konfigurációs és kitettségi információkkal is összekapcsolja. A vállalat példaként említi a kiemelt jogosultságú konténereket, a hosthálózat használatát és a túlzottan engedékeny szolgáltatásfiókokat. A rendszer a képekhez kapcsolódó CVE-ket is hozzárendeli a klaszterben futó munkaterhelésekhez, így a biztonsági csapatok láthatják, pontosan hol található egy sérülékenység.
Ez a kontextus segíthet az incidensek rangsorolásában. Egy szokatlan viselkedés önmagában kevésbé tűnhet sürgősnek, ha azonban az érintett munkaterhelés érzékeny adatokat kezel, kritikus sérülékenységekhez kapcsolódik vagy nyilvánosan elérhető, az esemény jelentősége nagyobb lehet.
A válaszlépések között szerepelhet egy rosszindulatú kapcsolat blokkolása podszinten. A Darktrace szerint ezek az intézkedések teljesen automatikusan, vagy emberi jóváhagyással is végrehajthatók, a kívánt autonómia és hatókör függvényében. A vállalat emellett bővíti a Kuberneteshez natívan kapcsolódó válaszlépések körét.
A rövid életű konténerek bizonyítékait is megőrizhetik
A konténerek gyors megszűnése miatt a vizsgálathoz szükséges bizonyítékok is eltűnhetnek. A Darktrace Forensic Acquisition & Investigation képességeit ezért Kubernetes-konténerekre is kiterjeszti. A vizsgálatot elemző manuálisan, vagy egy riasztás alapján automatikusan indíthatja el, így a bizonyítékok megőrizhetők a munkaterhelés megszűnése előtt.
A platform a klaszter aktivitását a környező felhőinfrastruktúrával is összekapcsolja, beleértve az AWS, Azure és GCP identitásait, hálózati tevékenységét és felhőeszközeit. A Darktrace célja ezzel az, hogy az elemzők egy Kubernetes-munkaterhelés rendellenes műveletét a tágabb környezet kontextusában vizsgálhassák.
