Kubernetes 集群的安全性：保护免受网络威胁、恶意软件和漏洞 (kubernetes怎么读)

Kubernetes 是一个开源容器编排系统，它用于自动化应用程序的部署、管理和扩展。Kubernetes 集群通常在云环境中运行，例如 Amazon EC2、Google Kubernetes Engine 和 Azure Kubernetes Service。这些环境为 Kubernetes 集群提供了高度可扩展的弹性基础设施，但它们也带来了额外的安全风险。

本文将探讨 Kubernetes 集群面临的常见网络威胁、恶意软件和漏洞，并提供最佳实践来保护您的集群免受这些威胁。

网络威胁

Kubernetes 集群可能面临以下网络威胁：

• 分布式拒绝服务 (DDoS) 攻击： DDoS 攻击会向目标服务器发送大量请求，目的是使其不堪重负并使其崩溃。Kubernetes 集群特别容易受到 DDoS 攻击，因为它们可以水平扩展，产生大量的节点。
• 中间人 (MITM) 攻击： MITM 攻击者会在客户端和服务器之间插入自己，窃取敏感数据或修改通信。

以下是保护 Kubernetes 集群免受网络威胁、恶意软件和漏洞的最佳实践：

• 使用网络安全组： 网络安全组可以用来限制对 Kubernetes 集群的访问，只允许从授权源进行访问。有关网络安全组的更多信息，请参阅Kubernetes 文档。
• 使用 TLS 认证： TLS 认证可以用来加密 Kubernetes API 服务器和集群节点之间的通信。有关 TLS 认证的更多信息，请参阅Kubernetes 文档。
• 使用 Kubernetes RBAC： Kubernetes RBAC 可以用来控制用户和服务帐户对 Kubernetes 集群的访问权限。有关 Kubernetes RBAC 的更多信息，请参阅Kubernetes 文档。

• 使用容器镜像扫描程序： 容器镜像扫描程序可以用来扫描容器镜像中是否存在漏洞。有关容器镜像扫描程序的更多信息，请参阅Kubernetes 博客文章。
• 定期更新 Kubernetes 集群： Kubernetes 团队会定期发布安全更新，修复漏洞。请务必及时更新您的 Kubernetes 集群。
• 实施安全监控和应急响应计划： 实施一个安全监控和应急响应计划，以检测和响应 Kubernetes 集群中的安全事件。有关 Kubernetes 安全事件响应的更多信息，请参阅Kubernetes 文档。

结论

Kubernetes 集群面临着各种网络威胁、恶意软件和漏洞。遵循本文中的最佳实践，您可以帮助保护您的集群免受这些威胁。通过遵循这些最佳实践，您可以降低安全风险并帮助确保 Kubernetes 集群的安全性和合规性。

---

Kubernetes(k8s)和Docker区别

Kubernetes（简称k8s）和Docker是容器化领域的核心组件，尽管都与容器技术相关，但它们在功能和用途上存在显著差异。 以下是对这两个技术区别的详细阐述。 一、Kubernetes（K8）Kubernetes是由谷歌开发的容器编排系统，旨在自动化Docker容器的部署、扩展和管理。 它是一个全面的分布式系统支持平台，提供集群管理、安全防护、服务发现、负载均衡、故障恢复、滚动升级、资源管理等功能。 核心组件包括kube-apiserver、kube-controller-manager和kubelet，以及etcd、kube-proxy等。 Kubernetes拥有庞大活跃的社区，支持丰富的教程和资源。 二、DockerDocker是一款开源容器化引擎，允许将应用程序及其依赖打包为可移植容器，在多种操作系统上部署。 它采用客户端-服务器架构，提供便捷的容器运行、资源隔离、服务发现和动态扩展等功能。 核心组件包括Docker Engine、Docker Hub和Docker Compose。 Docker相对简单，易于学习，但高级特性如网络配置、存储管理等需要进一步掌握。 三、K8和Docker应用1. 快速部署和升级应用程序：Kubernetes和Docker简化了应用程序在不同环境下的部署和更新过程。 2. 提高可伸缩性：自动扩展功能根据应用程序负载调整容器实例数量，提升可伸缩性。 3. 增强可靠性：容器化技术隔离应用程序组件，降低故障风险。 4. 简化开发流程：Docker简化开发环境创建，Kubernetes支持多容器部署，提高团队协作效率。 5. 简化部署和管理：自动化应用程序部署和管理，降低手动管理风险。 结合Docker和Kubernetes，开发人员可轻松打包应用程序为Docker镜像，利用Kubernetes进行容器调度和管理，实现高效、可靠的应用程序部署和运行。

使用Quttera检测并保护网络资产免受网络威胁

Quttera提供基于SaaS的恶意软件检测解决方案，以识别未知和“零日”并提醒用户?网站上的威胁。 他们的技术结合了人工智能、多层识别引擎、评分层和其他基于非签名的方法，使网络恶意软件检测更快、更容易。 在这次采访中，Quttera联合创始人兼首席技术官MichaelNovofastovsky探讨了当前网络安全面临的威胁和挑战，并为中小企业提供了一个优雅的解决方案。

请描述公司背后的故事：是什么激发了这个想法，以及到目前为止它是如何发展的？

Quttera是作为对抗网络恶意软件的创新解决方案的中心而创建的。 包括我在内的三位联合创始人设定了一个目标，以改进现有的反恶意软件工具，并克服行业中的局限性，例如仅基于签名的解决方案、严重依赖手动研究的恶意软件实验室、零日攻击等。

是我们在2009年注册的第一项专利，旨在检测给定代码或信息中的漏洞攻击。 专利方法中的算法和数学模型为基于启发式和人工智能的技术奠定了基础，称为Quttera。

从那时起，我们一直在开发新的工具和服务，以检测、删除和保护网络资产免受已知和未知的网络威胁。 我们的技术已经发展成为一种多层、功能丰富的启发式技术，可以在没有签名的情况下工作。 最重要的是，它的设计具有灵活性，可以根据任何应用程序的需求和具体情况进行调整。 任何客户端系统都可以轻松地将其集成，并开始利用其能力发现隐藏的威胁，调整和保护数据，并连接到集中的威胁情报数据库。

例如，中小型企业主通过SaaS网站保护平台——ThreatSign使用我们的技术。 威胁实验室、电子邮件客户端、电信、主机、安全提供商、云存储、广告库存、物联网设备，以及几乎所有网络连接资产都可以通过RESTAPI使用我们的技术。

Quttera产品和服务包含web应用程序防火墙、外部恶意软件扫描、服务器端恶意软件扫描、SSL管理、自动恶意软件清理框架、开放端口扫描、DNS攻击监控、黑名单检查、正常运行时间监控和其他安全功能。

以下是对Quttera的ThreatSign平台的简要介绍：

在线企业应该注意的当前威胁是什么？

恶意软件、垃圾邮件、表单数据盗窃、拒绝服务、勒索软件和交通盗窃只是一长串威胁中的几项。 你可以在我们的博客上找到每种威胁的真实例子的详细分类，但如果在这里列出所有威胁，那就太难了。

I会说，企业受到攻击的最大威胁或主要原因是缺乏安全教育。 根据我们的民调，似乎许多中小企业所有者认为他们的小网站或登录页不是目标，因为他们没有巨额收入或根本没有收入。

这导致对网络主机和网站平台的选择不当，完全忽视网络安全，很快导致感染。 尽管ThreatSign的统计数据显示，主动来我们这里建立保护的网站数量在增长，但绝大多数新客户仍然受到严重感染，并被谷歌、诺顿和其他公司列入黑名单。 恶意软件和黑客攻击已经变得更加复杂和自动化。 另一个有趣的统计数据是，一个典型的商业网站每天被攻击超过40次。

谁是威胁参与者，他们的动机是什么？

我们从受影响并签署到我们的SaaS平台ThreatSign进行补救的客户中看到的大多数威胁参与者都是网络罪犯、黑客行动主义者和寻求刺激者。 他们的动机是：盈利——是否分发SEO垃圾邮件、钓鱼垃圾邮件、邮件、信用卡信息盗窃（略读）、点击劫持、流量盗窃、勒索软件或DDoS。 这些罪犯经常在国际上活动，拥有大量资源。 1_网站污损和DDoS攻击。 他们的目的是阻止网站所有者的信息被传递出去，或者用不同的信息替换它。 玩黑客游戏。 他们通常是最不老练的攻击者，在家里使用设备。 然而，它们会对易受攻击的站点造成严重危害。 当局正在采取什么措施阻止网络犯罪？

世界各地的执法机构正在合作追踪和关闭网络罪犯。 这个过程很困难，因为专业的威胁参与者知道如何隐藏自己的行踪。 其中许多在政府不太合作的国家开展业务。 尽管困难重重，执法部门还是采取了一些令人印象深刻的行动。 但调查可能需要数年时间，与此同时，世界各地的网站都成了受害者。 新帮派取代了被关闭的帮派。 执法并不能消除对强大网站网络安全的需求。

您认为CCPA将如何影响电子商务行业？

CCPA要求在加州开展业务的公司使用合理的程序来保护其消费者数据。 这是对那些粗心大意的人的警钟。 他们需要证明他们已经采取了网络安全措施来保护客户的数据不被破坏。 许多初创公司都在提供合规服务，但并非所有公司都做得很好。 那些提供廉价、低质量服务并认为自己受到保护的企业可能会遭受代价高昂的失望。

最小的企业是免税的，它们通常是安全措施最差的企业。 他们不应该把缺乏法律义务作为忽视安全的借口。 CCPA只是他们一直应该做的事情的又一个原因：为他们的网站和敏感数据实施彻底、强大的安全保护。 此外，GDPR等其他法规也在推动在线业务朝着同样的方向发展。 安全一直至关重要，但这些法律提醒人们需要防止数据盗窃。 企业需要具备成熟专业知识的公司的帮助，以达到法律要求的网络安全水平。

鉴于家庭办公的巨大转变，企业应该做些什么来确保其运营？

企业在远程操作时，在确保运营安全方面面临许多挑战。无论是让每个人都能在家工作，还是将所有业务转移到网络上，这五个关键功能都是：

Availability：解决方案应该具有高度的弹性和高可用性，因为任何停机都会影响员工和客户，并给企业带来沉重的成本。可扩展性：解决方案应能处理成千上万的连接。灵活性：解决方案应支持在几分钟或几小时内进行扩展，同时最大限度地减少持续维护和成本要求。简单性：解决方案应该提供基于代理或无代理服务的选择。安全性：解决方案必须具有内在的安全性，并提供一种在全球或地方级别设置更严格控制的方法。你觉得现在哪些趋势和技术特别有趣？

云和物联网很简单。 物理世界和数字世界将不可避免地变得越来越近，并改变我们的生活、工作、学习和日常活动方式。 智能连接设备及其数字孪生兄弟将持续实时通信。 物联网最终将进入每个行业，将我们生活的更多方面带入“虚拟现实”我喜欢观看新的AR/VR体验、工业4.0、智能家居、智能医疗设备的演示，以及其他即将普及的精彩体验。

你如何展望你所在行业的未来？

坏行为人以任何可能的方式干扰并控制物联网链中的任何点都会造成物理伤害。 因此，我可以预见越来越多的供应商瞄准物联网资产的扫描、管理和保护。 当SMB/SME采用物联网时，市场将变得巨大，无论是接收流量的服务器、控制器设备，还是存在于任何数字模型中的数字孪生兄弟。 所有这些载体都将成为黑客的目标，必须受到网络安全解决方案的保护。

今天，我们的ThreatSign网站安全网络每季度处理约5200万个请求，平均阻止120万个恶意软件攻击。 当物联网进入时，你可以想象扫描和保护的物联网资产和其他有用的统计数据组成的网络，以管理和评估公司物联网业务的安全性。 我们仍然不知道这到底会是什么样子，但这是肯定的。 我相信，每个网络安全供应商都在努力准备他们的技术和基础设施，发现障碍和挑战，确保他们为物联网带来的一切做好准备。

有了新技术，新网站的创建和上线将变得更快、更容易。 因此，它也推动了快速部署网络安全防御的需求。 我们的方向之一是创建一个云本地、无服务器保护、修复和监控360度安全解决方案，让我们能够扩展并提供灵活性、简单性，当然还有安全性。 我们所有的保护模块，比如WAF，都已经是云本地的，我们正在使用Kubernetes来支持客户并缓解DDoS攻击。

Kubernetes 集群的关闭与重启

在 Kubernetes 集群的运维过程中，适时的关闭和重启是必要的，但需谨慎操作。 本文将指导您如何安全地执行这些任务。

首先，确保在进行任何操作前备份所有重要数据，包括应用、CRD和Etcd，避免在重启或关闭过程中导致数据丢失。推荐的方法是逐个驱逐维护节点而非整个集群，使用以下命令列出和驱逐节点：

关闭集群前，再次强调备份的重要性。以下是关闭集群的步骤：

重启集群后，务必检查所有节点和核心组件的状态。 尽管重启后通常可以恢复，但意外情况仍可能导致集群不可用，因此备份是关键，尤其是多次备份。

尽管现代技术带来了便利，但运维仍需谨慎对待，备份是预防不可预知问题的重要手段。 避免因无知导致的割接问题，保护您的集群免受不必要的风险。

kubectl怎么读？

kubectl是一种命令行工具，用于管理Kubernetes集群。 它是Kubernetes自带的工具之一，可以通过命令行访问和控制集群、部署应用程序和服务等。 kubectl是Kubernetes工具箱中最常用的工具之一，通常是从终端或控制台中运行。

kubectl的读音可以分为两部分。 第一部分“kube”是“Kubernetes”的简称，读作“koo-burr”。 第二部分“ctl”读作“control”，表示控制工具。 因此，kubectl的正确发音为“koo-burr-control”。

如果您是Kubernetes集群的管理员或开发人员，kubectl是一种非常重要的工具。 通过学习和熟练掌握kubectl，您可以管理和控制集群中的各种容器和应用程序，确保它们正常运行，并具有高可用性和伸缩性。 同时，通过kubectl，您还可以创建、部署和升级Kubernetes中的应用程序和服务，提高生产力和效率。

[译]使用PDB避免Kubernetes集群中断

这是我们实现Kubernetes集群零停机时间更新的系列文章的第四部分也是最后一部分。 在前两篇文章「如何优雅地关闭Kubernetes集群中的Pod」和「借助Pod删除事件的传播实现Pod摘流」中，我们重点介绍了如何正常关闭集群中现有的Pod。 我们介绍了如何使用preStop钩子正确关闭Pod，以及为什么在Pod关闭序列中增加延迟以等待删除事件在群集中传播很重要。 这些可以处理一个Pod的终止，但不能保证我们在需要关闭多个Pod时还能让服务正常运行。 在本文中，我们将使用Kubernetes提供PodDisruptionBudgets或者简称PDB来减轻这种风险。

译注：PDB是Kubernetes中用来保证集群中始终有指定的Pod副本数处于可用状态，它与Deployment中指定的maxUnavailable的区别是，后者是用来使用Deployment对应用进行滚动更新时保障最少可服务副本数的！而ReplicaSetController，也并不能给保证集群中始终有几个可服务副本，它是负责尽快的让实际副本数跟期望副本数相同的，不会保证中间某些时刻的实际副本数。 Kubernetes的PDB是用来保证应用在每个时刻最少可用Pod副本数的，对那些Voluntary（自愿的）Disruption做好Budgets(预算方案)。

PDB是针对VoluntaryDisruption场景设计的，属于Kubernetes可控的范畴之一，而不是为InvoluntaryDisruption（非自愿中断设计）设计的，自愿中断主要是一些系统维护和升级更新的操作，而非自愿中断一般都是些硬件和网络故障导致的中断。 一些集群会对Node进行自动管理，因此需要使用PDB来保障应用的HA。

PDB：预算可容忍的故障数

Pod中断预算（PDB）是一种在给定时间可容忍的中断数量（故障预算）的指标。 每当计算出服务中的Pod中断会导致服务降至PDB以下时，操作就会暂停，直到可以维持PDB为止。 这意味着在等待更多Pod可用之前，可以暂时停止逐出Pod，以免驱逐Pod而超出预算。

要配置一个PDB，我们需要在Kubernetes里创建一个PodDisruptionBudgets资源对象（后面简称PDB对象）用来匹配服务中的Pod。举个例子来说，我们想要创建一个PDB对象让我们之前使用Deployment创建的Nginx应用始终保持至少一个Pod可用，那么我们可以应用下面的配置：

apiVersion:policy/v1beta1kind:PodDisruptionBudgetmetaData:name:nginx-pdbspec:minAvailable:1selector:matchLabels:app:nginx

这会告诉Kubernetes我们想要在任意时间点都有至少一个匹配标签app:niginx的Pod在集群中可用。 使用此方法，我们可以促使Kubernetes保证在自愿中断（更新/维护）进行时服务至少有一个Pod是可用的，避免服务停机。

PDB的工作原理

为了说明PDB是如何工作的，让我们回到我们的一直以来使用的示例。 为了简单起见，在示例中，我们将忽略任何preStop钩子，就绪性探针和服务请求。 我们还将假设我们要对集群节点进行一对一替换。 这意味着我们将通过使节点数量加倍，在新节点上运行重建的Pod。

在图示中我们从两个节点的原始群集开始：

我们提供了两个额外的节点来运行新的虚拟机镜像。 最终将会在新节点上创建Pod替换运行在旧节点上的Pod。

要替换服务Pod所在的节点，我们首先需要清空旧节点。 在此示例中，让我们看看如果同时向运行NginxPod的两个节点发出kubectldrain命令时会发生什么。 排空Node上Pod的请求将在两个线程中发出（实践时，可以使用两个终端分别运行kubectldrain命令），每个线程管理一个节点的排空执行序列。

注意，在这里我们，假设kubectldrain命令会立即发出驱逐请求。 实际上，drain操作首先会涉及对节点进行标记（给节点打上NoSchedule的标记），以便不会把Pod重新调度到旧节点上去。

节点标记完成后，负责排空节点的线程开始逐出节点上的Pod。 这个过程中线程首先会去控制中心查询，看驱逐Pod是否会导致服务可用Pod数下降到配置的PDB以下。

这里需要注意的是，控制台会将并发请求串行化，一次处理一个PDB查询。 这样，在这种情况下，控制平面将成功响应其中一个请求，而使另一个请求失败。 这是因为第一个请求基于两个可用Pod的。 允许此请求会将可用的Pod数量减少到1，PDB得以维持。 当控制中心允许请求继续进行时，便会将其中一个容器逐出，从而变得不可用。 之后，当处理第二个请求时，控制平面将拒绝它，因为允许该请求会将可用Pod的数量降至0，低于我们配置的PDB。

鉴于此，在示例中，我们假定节点1是获得成功响应的节点。在这种情况下，节点1负责排空操作的线程将继续逐出Pod，而节点2的排空线程将会等待并在稍后重试：

当节点1上的NginxPod被驱逐后，Pod会立即被Deployment重建出来并调度到集群的节点上。 因为我们集群的旧节点都已经被打上了NoSchedule的标记，所以调度器会选择一个新节点进行调度。

至此，成功在新节点上完成了Pod更换，并且排空了原始节点Node1，用于排空Node1的线程就完成任务了。

从现在开始，当Node2的排空线程再次去控制中心查询PDB时，将会得到成功响应。 这是因为有一个正在运行的Pod（刚才在Node3上新建的Pod）不在考虑驱逐的序列中，因此，让Node2的排空线程继续前进不会将可用Pod的数量降到PDB以下。 所以线程2会继续前进逐出Node2上的Pod，完成驱逐过程：

至此，我们就成功地将两个Pod都迁移到了新节点上，而没有遇到无可用Pod可以为应用程序提供服务的情况。 而且，我们不需要在两个负责排空节点的线程之间有任何协调逻辑，Kubernetes会根据我们提供的配置为我们处理所有工作！

总结

将我们在本博客系列中的内容都联系起来，我们介绍了：

如何使用生命周期钩子来实现平滑关闭我们的应用程序的能力，从而不会导致服务硬重启。 PartII：如何优雅地关闭Kubernetes集群中的Pod

Pod是怎么从Kubernetes系统中被移除的，以及为什么必须在Pod关闭序列中引入延迟。 PartIII:借助Pod删除事件的传播实现Pod摘流

如何指定Pod中断预算（PDB），以确保我们始终有一定数量的Pod可用，以便在需要中断的情况下为运行的应用程序提供连续不中断的服务。

当所有这些功能一起使用时，我们可以实现集群维护时服务零停机时间的目标！不过不要只听我在这里说，要继续下去把这里介绍的功能应用在练习和实践中。

关注公众号「网管叨bi叨」获取更多精选技术文章

作者：kevinyan著作权归作者所有。

---

---

相关标签： 集群的安全性、 kubernetes怎么读、 恶意软件和漏洞、 保护免受网络威胁、 Kubernetes、

上一篇：Kubernetes集群的云原生最佳实践在AWSAzure

下一篇：Kubernetes集群自动化部署流水线编排和持续