云原生安全检测器 Narrows（CNSI）的部署和使用

最新推荐文章于 2023-06-30 21:01:00 发布

VMware中国研发中心

最新推荐文章于 2023-06-30 21:01:00 发布

阅读量654

点赞数 1

分类专栏：跨云服务文章标签：云原生安全 kubernetes

本文链接：https://blog.csdn.net/qq_42906753/article/details/129064266

版权

本文介绍了如何在Kubernetes集群上部署和使用云原生安全检测器Narrows（CNSI）0.2.0版。CNSI旨在对K8s集群中的工作负载进行动态安全检测，补充静态扫描的不足。通过Minikube部署K8s集群，然后安装CNSI，配置Harbor进行镜像扫描，使用CNSI检查Prometheus工作负载的运行时漏洞，展示了CNSI的功能和报告分析。

摘要由CSDN通过智能技术生成

近日，云原生安全检测器 Narrows（Cloud Native Security Inspector，简称CNSI）发布了0.2.0版本。
（https://github.com/vmware-tanzu/cloud-native-security-inspector）

此项目旨在对K8s集群中的工作负载进行动态（运行时）的安全检测，并报告安全问题，从而弥补了现有静态安全扫描技术的不足之处。

Harbor等云原生镜像仓库提供了静态扫描能力，例如镜像CVE扫描，覆盖的范围主要是镜像的应用层。当镜像被部署到K8s集群后，在不同的配置条件下可能会出现新的漏洞。Narrows可以探测到这部分漏洞并报告给用户，而且可以采取相应的措施（如网络隔离等）减少漏洞的影响。

本文的目的在于使用一个简单的Demo来指导用户在自己的K8s集群中快速部署Narrows(CNSI)。我们将使用Minikube来部署一个简单的K8s集群，部署一个Prometheus工作荷载，并使用CNSI来检查这个Prometheus负载的风险。

前置条件

1.需要准备一台Linux机器，本文中我们使用了一台“CentOS Linux release 7.9.2009 (Core)”型号的机器。

2.我们的机器拥有32核CPU和64GB内存，此配置不代表实现demo的最小配置。

3.在机器上需要安装好Docker, 参考https://www.digitalocean.com/community/tutorials/how-to-install-and-use-docker-on-centos-7

4.需要已经有一个版本为2.5.0以上的Harbor（https://goharbor.io/）实例。并且已经配置好Harbor的安全扫描功能（https://goharbor.io/docs/main/administration/vulnerability-scanning/）。CNSI会利用Harbor的安全扫描功能。