节点上自定义数据的收集(依赖于自定义插件) 问题上报 • 需要采集和分析结果文件 Kube* CIS Kubernetes Benchmark 集群安全扫描 集群综合检查 执行 bpftrace 检测工具小结 工具 适用场景 局限性 kube-bench 在集群中运行 CIS Benchmark 检测项依赖于 CIS Benchmark 内容 能发现集群核心组件配置错误 无法发现如 Flannel 组件异常

實體作業系統風險 Host OS Risk ©2019 VMware, Inc. 9 針對Kubernetes的安全強化實作參考: CIS Benchmark Source: https://www.cisecurity.org/benchmark/kubernetes/ 控制措施 如何查核 如何查核 參考資訊 預設配置 原因理由 如何查核 1. 控制平面元件

Non-real-time kernel (Linux) ARM32 PowerPC ARM64 RISC-V Real-time kernel Embedded elastic base Secure CIS configuration hardening/ CFI protection/ Integrity measurement Unified runtime VMs and containers utilizes the hardware features of Kunpeng processors to achieve higher operating efficiency. In the benchmark tests such as SPEC CPU 2017, Kunpeng GCC delivers much better performance than GCC 10.3 of the higher performance than GCC 10.3 of the upstream community. Likewise, during the SPEC CPU 2017 benchmark test, Kunpeng GCC delivers nearly 15% higher performance than GCC 10.3 of the upstream community

CST 可以用于检查镜像文件系 统中某个文件的存在或缺失，验证文件的内容，检查容器中发出的特定命令的输出或错误，并检查容器镜像的 元数据（例如标签、入口点和命令），以确保符合 CIS Docker Benchmark 的规范。我们在使用 CST 方面有很 好的经验，建议您可以试用一下。除了预防漏洞，检查容器是否暴露不必要的端口之外，我们还使用它来验证 每个 Docker 容器是否满足在企业

（2）合规基线 云原生安全威胁分析与能力建设白皮书 61 不安全、不合规的配置是引发安全问题的主要原因之一，组织应建立多集群 配置自动获取的能力，包括容器编排系统、容器运行时、容器宿主机等，并根据 CIS、等保等相关标准进行比对，形成持续性、周期性的检测机制，形成“检测 -报表输出-修复”的流程机制。 （3）组件安全 云原生环境下，其面临的风险除了配置外，就是其组件众多，组件自身可能 存在安 持续部署 CI Continuous Integration 持续集成 CIEM Cloud Infrastructure Entitlements Management 云基础设施授权管理 CIS Center for Internet Security 互联网安全中心 CNAPP Cloud-Native Application Protection Platform 云原生应用程序保护平台

1 致谢 本课程参考宾夕法尼亚⼤学CIS1200课程设计 2 什么是现代编程思想课 这是⼀⻔程序设计课 课程受众：所有编程爱好者 实⽤技巧 编写较⼤型程序（～10,000⾏） 独⽴分析解决问题 测试驱动开发与设计 概念基础 常⻅数据结构与算法 多种编程范式 关注模块化和组合性 3 课程⼯具 MoonBit⽉兔 现代静态类型多范式编程语⾔ 语法轻量，易上⼿ 浏

算等关键技术实现应用性能倍数级提升。分布式内存套件在多样化算力和 端边云协同场景也可以实现应用的加速。该特性将在后续版本推出，敬请期待。 轻量化 镜像极致裁剪/快速启动 /低底噪 安全 CIS 配置加固/CIF 防护 /完整性度量 实时 快速响应/ 确定性处理 统一运行时 虚拟机 容器 集成开发环境 编 译 器 工 具 链 仿 真 混合关键性系统（mixed criticality

Cloud Internet Services (CIS)。 如果要安装私有集群，请使用 IBM Cloud® DNS Services (DNS Services) 10.2.3.1. 使用 使用 IBM Cloud Internet 服 服务进 务进行 行 DNS 解析 解析 安装程序使用 IBM Cloud® Internet Services (CIS) 来配置集群 DNS 解析，并为公共集群提供名称查找。 您必须在与集群相同的帐户的 CIS 中创建域区。您还必须确保该区域对域具有权威。您可以使用根域或子 域进行此操作。 先决条件 先决条件 已安装 IBM Cloud® CLI。 您有一个现有的域和注册商。如需更多信息，请参阅 IBM® 文档。 第 第 10 章 章 在 在 IBM CLOUD 上安装 上安装 1603 1 1 1 流程 流程 1. 创建用于集群的 CIS 实例： a. 安装 安装 CIS 插件： b. 创建 CIS 实例： CIS 至少需要一个 标 标准 准 计划来管理集群子域及其 DNS 记录。 2. 将现有域连接到您的 CIS 实例： a. 为 CIS 设置上下文实例： 实例云资源名称。 b. 为 CIS 添加域： 完全限定域名。您可以根据计划配置，使用根域或子域值作为域名。 注意 注意 根域使用格式 openshiftcorp.com。子域使用格式为

Kubernetes Platform v2.5发布， 版本特性更新如下： • 支持将独立的DKP Essential集群扩展到DKP 企业管理集群下进行集中管理； • 支持通过Kube-bench检查集群是否符合CIS Kubernetes基准； • ·警报内容包括根本信息分析（RCA）和解决 方案建议； • ·完全支持Istio； • ·支持ARM64机器； • ·支持外部Load Balancer。 Trivy

IBM Cloud Internet Services (CIS)。 如果要安装私有集群，请使用 IBM Cloud DNS Services (DNS 服务) 10.2.3.1. 使用 使用 IBM Cloud Internet 服 服务进行 行 DNS 解析 解析 安装程序使用 IBM Cloud Internet Services (CIS) 来配置集群 DNS 解析，并为公共集群提供名称查找。 您必须在与集群相同的帐户的 CIS 中创建域区。您还必须确保该区域对域具有权威。您可以使用根域或子 域进行此操作。 先决条件 先决条件 已安装 IBM Cloud CLI。 您有一个现有的域和注册商。如需更多信息，请参阅 IBM 文档。 第 第 10 章 章 在 在 IBM CLOUD VPC 上安装 上安装 1505 1 1 1 流程 流程 1. 创建用于集群的 CIS 实例： a. 安装 安装 CIS 插件： b. 创建 CIS 实例： CIS 至少需要一个 标 标准 准 计划来管理集群子域及其 DNS 记录。 2. 将现有域连接到您的 CIS 实例： a. 为 CIS 设置上下文实例： 实例云资源名称。 b. 为 CIS 添加域： 完全限定域名。您可以根据计划配置，使用根域或子域值作为域名。 注意 注意 根域使用格式 openshiftcorp.com。子域使用格式为