K02/K8s 보안 강화 - 공급망 취약점

OWASP(Open Web Application Security Project)은
인터넷 세상에서 발생가능한 가장 중요한 보안 취약점을 정리한 문서입니다.

Overview

K8s에 대한 OWASP TOP 10 보안 위협 중 2번째인 공급망 체인 취약점(Supply Chain Vulnerabilities)에 대해서 다루고자 합니다.

기본적으로 3가지 관점에서 취약점을 가짐할 수 있습니다.

1. 이미지 무결성(Image Integrity)

2. 이미지 구성(Image Composition)

3. 알려진 소프트웨어 취약점 관점(Known Software Vulnerabilities)

여기에 더해 3가지 조치사항을 가져야 합니다.

1. 이미지 서명(Image Signing)

2. 소프트웨어 자재 명세서(SBOM, Software Bill of Materials)

3. 정책 적용(Enforcing Policy)

D01~D06/Docker 보안 강화[P5]에서 다룬 내용들을 기반으로
전체적으로 CI/CD 파이프라인의 SLSA 레벨을 기반으로 조치할 수 있어 보입니다.

Supply Chain Vulnerabilities

현대 어플리케이션은 다수의 오픈소스에 의존하고 있습니다.
개별 오픈소스는 또 다른 오픈소스에 의존하고 있습니다.
이런 공급망 체인 구조(Supply Chain)는치명적인 취약점이 되고 있습니다.

1. 이미지 무결성 관점에서 앱에서 사용하는 오픈소스 기반 공격이 있을 수 있습니다.
   Solarwind attack[P1], 3’rd party package[P2][P3], log4j exploit[P3] 참고

2. 이미지 구성 관점에서 컨테이너의 각 레이어가 보안에 영향을 미칠 수 있습니다.

3. 알려진 소프트웨어 취약점 관점에서 특정 오픈소스가 OpenSSL 버전이 포한되어 있는 등의 문제가 있을 수 있습니다.

Image Integrity, Image Composition, Known Software Vulnerabilities

따라서 개별 취약점을 예방하기 위한 방법이 필요합니다.

1. 이미지 무결성 관점에서 in-toto[T1]와 in-toto/attestaton[T2] 등을 사용해서 CI/CD 파이프라인의 SLSA[T3] 레벨을 더 높일 수 있습니다.

2. 이미지 구성 관점에서 Distroless[T4]와 Scratch[T5] 등의 배포되지 않은 이미지 및 도커 슬림[T6]을 활용하여 컨테이너 환경을 경량화 및 보안 강화할 수 있습니다.

3. 알려진 소프트웨어 취약점 관점에서 Clair[T7], Trivy[T8] 등의 감사도구를 활용하여 알려진 CVE를 가진 소프트웨어를 식별할 수 있습니다.

4. 이미지 서명 관점에서 Cosign[T9] 등을 활용해서 컨테이너 서명을 할 수 있습니다.

5. 소프트웨어 자재 명세서(SBOM) 관점에서 CycloneDX[T10], SPDX[T11] 등으로 특정 소프트웨어 아티펙트에 포함된 소프트웨어 패키지, 라이선스 및 라이브러리 목록을 제공하며 다른 보안 점검의 출발점으로 사용해야 합니다.

6. 정책 적용 관점에서 승인되지 않은 이미지가 K8s Admission Controls[T12]과 오픈 정책 엔진인 OPA[T13], Kyverno[T14] 등을 사용하여 워크로드 이미지를 제어할 수 있습니다.

Image Integrity, Image Composition, Known Software Vulnerabilities, Image Signing, SBOM(Software Bill of Materials), Enforcing Policy

OWASP. Ref

• [1] K02: Supply Chain Vulnerabilities

• [2] Solar Winds Cyber Attack

• [3] Tainted third-party packages : Malware found in npm package with millions of weekly downloads

Tech. Ref.

• [T1] Image Integrity - in-toto

• [T2] Image Integrity - in-toto/attestation

• [T3] Image Integrity - SLSA

• [T4] Image Composition - Distroless

• [T5] Image Composition - Scratch

• [T6] Image Composition - 도커 슬림

• [T7] Known Software Vulnerabilities - quay/clair

• [T8] Known Software Vulnerabilities - aquasecurity/trivy

• [T9] Image Signing - sigstore/cosign

• [T10] SBOM - CycloneDX

• [T11] SBOM - SPDX

• [T12] Enforcing Policy - K8s Admission Controls

• [T13] Enforcing Policy - OPA

• [T14] Enforcing Policy - Kyverno

POST. Ref.

• [P1] Solar Winds Cyber Attack

• [P2] Tainted third-party packages : Malware found in npm package with millions of weekly downloads

• [P3] Log4j 취약점이란 무엇인가요?

• [P4] npm UAParser.js 바이러스 문제

• [P5-1] D01/Docker 보안 강화 - 유저 권한 매핑

• [P5-2] D02/Docker 보안 강화 - 패치 관리 전략

• [P5-3] D03/Docker 보안 강화 - 네트워크 세분화 및 방화벽

• [P5-4] D04/Docker 보안 강화 - 보안 기본값 및 강화

• [P5-5] D05/Docker 보안 강화 - 보안 컨텍스트 유지 관리

• [P5-6] D06/Docker 보안 강화 - 리소스 보호