Телеграмм чат группы devsecops

15:36пожаловаться #1

Niyaz Kashapov

Trivy сканит по базовому образу и слоям. в локальной базе хранится список уязвимостей, и при скане версии образов и софта матчатся и вылетают в виде списка уязвимостей в результаты.
В теории, можно поднять trivy как сервер
А на сборочных агентах раскидать клиентов. После скана, результаты отправлять в defectdojo или в другой сервис (в сам CI)

Сканить все ворклоады не тема. Лучше вкорячить в CI.
А по поводу доступа - размещайте рядом с регистром. И токен для сервера пропишите в конфигах.

>Лучше вкорячить в CI.
тогда условный редко деплоящийся продукт (или совсем не условный инфраструктурный компонент в кластере, типа флюента) будет слабо охвачен.
тоже смотрел в сторону вшитого в регистри, но регистри гитлабовый и вряд ли поменяется.
режим работы триви (стэндэлон или клиент-сервер) по сути тут пофиг, концепцию б родить.
у себя вот как делаете? только в CI?

Niyaz Kashapov in DevSecOps - русскоговорящее сообщество

15:37пожаловаться #2

Чисто в CI.

Если честно, в регистре лежат только те образы , которые прошли проверку через trivy

Если у вас накопился зоопарк, то легче автоматизировать скан, найти самый треш, и почистить регистр.

15:41пожаловаться #3

понятно. просто вчера образ проверку прошел, а сегодня в том же софте CVE-2021-xxx (привет, судо) - и вуаля. до следующей сборки оно все живет.

15:42пожаловаться #4

в ci это ваще тащить не надо имхо

15:45пожаловаться #5

делаешь золотые образа, выкладываешь в реджестри и сканишь сам реджестри раз в день

15:46пожаловаться #6

золотые образа это конечно хорошо, но не когда у прогеров по стопицот веток и свобода творчества…

15:49пожаловаться #7

еще можно агент в рантайм вкорячить, который будет собирать инфу по либам и отливать тебе

Bdr777 in DevSecOps - русскоговорящее сообщество

15:51пожаловаться #8

cyber

делаешь золотые образа, выкладываешь в реджестри и сканишь сам реджестри раз в день

Ну такое, золотые образа редко бывают актуальны

15:51пожаловаться #9

D P

золотые образа это конечно хорошо, но не когда у прогеров по стопицот веток и свобода творчества…

я бы именно с этого начал сканирование образов, иначе смысла не имеет

15:51пожаловаться #10

а вы сканили хоть раз дефолтный убунтовый образ? патчить сами будите неограниченное количество образов?..)

15:52пожаловаться #11

или вы сканируете просто чтоб просканировать?

Denis Yakimov in DevSecOps - русскоговорящее сообщество

15:53пожаловаться #12

Есть если что связка OPA + trivy как операторы
https://youtu.be/WKE2XNZ2zr4
Может это то что ты ищешь хз

YouTube

Handling Container Vulnerabilities with Open Policy Agent - Teppei Fukuda, Aqua Security

Don’t miss out! Join us at our upcoming events: EnvoyCon Virtual on October 15 and KubeCon + CloudNativeCon North America 2020 Virtual from November 17-20. Learn more at https://kubecon.io. The conferences feature presentations from developers and end users of Kubernetes, Prometheus, Envoy, and all of the other CNCF-hosted projects.

Handling Container Vulnerabilities with Open Policy Agent - Teppei Fukuda, Aqua Security

A vulnerability scanner for containers doesn’t help a user decide how to handle vulnerabilities. For example, even if a critical vulnerability is found, some organizations may accept the risk of it. The policy for vulnerability handling depends on the organization, and in many cases, the person in charge has to make a manual judgement based on this policy every time. This is time-consuming. This talk demonstrates how to automatically handle vulnerabilities detected by a scanner using OPA. - The vulnerabilities found by a scanner in CI are handled automatically by Open Policy Agent - Applying…

16:04пожаловаться #13

Handling Container Vulnerabilities with Open Policy Agent - Teppei Fukuda, Aqua Security

Denis Yakimov

Есть если что связка OPA + trivy как операторы
https://youtu.be/WKE2XNZ2zr4
Может это то что ты ищешь хз

YouTube

На OPA с PSP съезжать скоро придется, видимо. Спасибо, посмотрю. Пора изучать все равно.

Vit in DevSecOps - русскоговорящее сообщество

16:20пожаловаться #14

Jenny Escada

Всем привет, можно ли здесь постить вакансии?

К сожалению, нет :( есть специализированные чатики.
Эх, пора в шапку закинуть ссылку на частые вопросы)))

Jenny Escada in DevSecOps - русскоговорящее сообщество

17:27пожаловаться #15

Vit

К сожалению, нет :( есть специализированные чатики.
Эх, пора в шапку закинуть ссылку на частые вопросы)))

да, буду очень признательна , если пришлете ссылку на этот чатик с вакансиями)

Denis Yakimov in DevSecOps - русскоговорящее сообщество

17:27пожаловаться #16

Jenny Escada

да, буду очень признательна , если пришлете ссылку на этот чатик с вакансиями)

@appsec_job

Jenny Escada in DevSecOps - русскоговорящее сообщество

19:05пожаловаться #17

Denis Yakimov

@appsec_job

Спасибо 🙏🏻🙏🏻🙏🏻

Vlad in DevSecOps - русскоговорящее сообщество

19:24пожаловаться #18

2021 February 09

Ребята, кто-то джойнил windows server 2019 в kubernetes cluster?

Vlad in DevSecOps - русскоговорящее сообщество

13:50пожаловаться #19

У меня проблема, kubelet не стартует на винде ни в какую. Сначал ему не нравился systemd container runtime, поставил cgroup как у докера. Потом он начал искать bootstrap config в /etc/kubernetes, а его там нету и быть не должно пока нода не заджойниться в кластер