Изоляция контейнеров |
Все пользователи |
Cri-o;
Kube-rbac-proxy |
Platform V DropApp обеспечивает:
- изоляцию пространств идентификаторов процессов контейнеров;
- изоляцию пространств имен для межпроцессного взаимодействия контейнеров;
- изоляцию пространств имен для пользователей и групп контейнеров;
- изоляцию пространств имен хостов и доменов контейнеров;
- изоляцию сетевых пространств имен контейнеров;
- изоляцию пространств имен для иерархии каталогов контейнеров |
Выявление уязвимостей в образах контейнеров |
Все пользователи |
Harbor Scanner Adapter for Trivy;
Trivy-operator;
Trivy |
Platform V DropApp:
- выявляет известные уязвимости при создании, установке образа контейнера в информационной (автоматизированной) системе и хранении образов контейнеров на основе сведений, содержащихся в банке данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России, а также в иных источниках, содержащих сведения об известных уязвимостях;
- оповещает о выявленных уязвимостях в образах контейнеров разработчика образов контейнеров и администратора безопасности информационной (автоматизированной) системы;
- запрещает создание образов контейнеров, содержащих известные уязвимости критического и высокого уровней опасности;
- позволяет осуществлять выявление известных уязвимостей образов контейнеров не реже одного раза в неделю |
Проверка корректности конфигурации контейнеров |
Все пользователи |
Gatekeeper;
Kubernetes (Kube-apiserver) |
Platform V DropApp:
- позволяет ограничивать права прикладного программного обеспечения, выполняемого внутри контейнера, на использование периферийных устройств, устройств хранения данных и съемных машинных носителей информации (блочных устройств), входящих в состав информационной (автоматизированной) системы;
- позволяет ограничивать права прикладного программного обеспечения, выполняемого внутри контейнера, на использование вычислительных ресурсов (оперативной памяти, операций ввода-вывода за период времени) хостовой операционной системы;
- выполняет монтирование корневой файловой системы хостовой операционной системы в режиме «только для чтения» |
Контроль целостности контейнеров и их образов |
Все пользователи |
Cosign;
Gatekeeper;
Connaisseur |
Platform V DropApp:
- контролирует целостность образов контейнеров и исполняемых файлов контейнеров;
- информирует администратора информационной (автоматизированной) системы и администратора безопасности средства контейнеризации о нарушении целостности объектов контроля;
- контролирует целостность сведений о событиях безопасности с применением механизмов контроля целостности хостовой ОС;
- контролирует целостность образов контейнеров и параметров настройки Platform V DropApp при установке образа контейнера в информационной (автоматизированной) системе и далее периодически за счет применения цифровой подписи;
- блокирует запуск образа контейнера при нарушении его целостности |
Регистрация событий безопасности |
Все пользователи |
Kubernetes (Kube-apiserver);
Harbor;
Cilium;
Prometheus-alertmanager;
Grafana Loki (Loki);
Grafana;
Kubernetes (Kubelet) |
Platform V DropApp:
- регистрирует события, относящиеся к инцидентам безопасности Platform V DropApp, связанные с попытками осуществления несанкционированного доступа к Platform V DropApp;
- оповещает администратора безопасности Platform V DropApp и администратора информационной (автоматизированной) системы об инцидентах безопасности;
- выполняет действия, являющиеся реакцией на инциденты безопасности;
- осуществляет сбор и хранение записей в журнале событий безопасности, которые позволяют определить, когда и какие действия происходили.
Регистрация событий безопасности осуществляется с учетом требований разделов 5-6 ГОСТ Р 59548-2022 «Защита информации. Регистрация событий безопасности. Требования к регистрируемой информации».
Для каждой функции безопасности в Platform V DropApp определен перечень событий, необходимых для регистрации и учета.
Для регистрируемых событий безопасности в каждой записи журнала событий безопасности указывается номер (уникальный идентификатор) события, дата, время, тип события безопасности.
Записи журнала событий безопасности представляются в структурированном виде и содержат информацию о времени события безопасности, взятую из хостовой операционной системы.
Platform V DropApp осуществляет запись событий безопасности контейнеров в журнал событий безопасности информационной (автоматизированной) системы с указанием идентификатора контейнера.
Журнал событий безопасности Platform V DropApp доступен только для чтения. При исчерпании области памяти, отведенной под журнал событий безопасности, Platform V DropApp осуществляет архивирование журнала с последующей очисткой указанного журнала.
Platform V DropApp регистрирует следующие события безопасности:
- неуспешные попытки аутентификации пользователей средства контейнеризации;
- создание, модификация и удаление образов контейнеров;
- получение доступа к образам контейнеров;
- запуск и остановка контейнеров с указанием причины остановки;
- изменение ролевой модели;
- модификация запускаемых контейнеров;
- выявление известных уязвимостей в образах контейнеров и некорректности конфигурации;
- факты нарушения целостности объектов контроля.
Для каждого события безопасности регистрируются:
- описание события безопасности;
- сведения о критичности события безопасности.
Platform V DropApp обеспечивает запись событий безопасности контейнеров в журнал событий безопасности информационной (автоматизированной) системы с указанием идентификатора пользователя хостовой операционной системы, от имени которого был запущен контейнер |
Управление доступом |
Все пользователи |
Kubernetes (Kube-apiserver);
Dex;
Loginapp;
Kubelogin |
В Platform V DropApp реализован ролевой метод управления доступом с тремя ролями пользователей: разработчик образов контейнеров, администратор безопасности средства контейнеризации, администратор информационной (автоматизированной) системы.
Роль разработчика образов контейнеров позволяет: создавать, модифицировать и удалять образы контейнеров.
Роль администратора информационной (автоматизированной) системы позволяет: запускать и останавливать контейнеры.
Роль администратора безопасности средства контейнеризации позволяет:
- назначать права доступа пользователям средства контейнеризации к образам контейнеров;
- создавать учетные записи пользователей средства контейнеризации;
- управлять учетными записями пользователей средства контейнеризации;
- иметь доступ на чтение к журналу событий безопасности средства контейнеризации;
- формировать отчеты с учетом заданных критериев отбора, выгрузку (экспорт) данных из журнала событий безопасности средства контейнеризации |
Идентификация и аутентификация пользователей |
Все пользователи |
Kubernetes (Kube-apiserver);
Dex;
Loginapp;
Kubelogin |
Platform V DropApp:
- предоставляет интерфейс для ввода логина и пароля (интерфейс для идентификации и аутентификации), который направляет в сертифицированную в системе сертификации ФСТЭК России службу каталогов LDAP или OIDC (не ниже 4 уровня доверия). На основании ответа службы каталогов LDAP или OIDC Platform V DropApp предоставляет или не предоставляет пользователю токен авторизации для модуля kube-apiserver, который формируется на основе данных о пользователе, полученных от службы каталогов LDAP или OIDC;
- осуществляет аутентификацию пользователей при предъявлении пароля пользователя.
При попытке ввода неправильного значения пароля пользователя выводится соответствующее сообщение с приглашением ввести правильный пароль еще раз.
Защита пароля пользователя обеспечивается при его вводе за счет отображения вводимых символов условными знаками |
Централизованное управление образами контейнеров и контейнерами |
Все пользователи |
Harbor |
Platform V DropApp:
- позволяет хранить, получать и удалять образы контейнеров в информационной (автоматизированной) системе;
- позволяет обновлять образы контейнеров;
- обеспечивает чтение, удаление записей о событиях безопасности, формирование отчетов с учетом заданных критериев отбора, выгрузку (экспорт) данных из журнала событий безопасности средства контейнеризации;
- анализирует возникающие события безопасности в целях выявления инцидентов безопасности;
- оповещает администратора безопасности средства контейнеризации о событиях безопасности;
- позволяет формировать отчеты |