Neuvector Rodeo 17 mars 20234

Copyright © SUSE 2023
Rodeo NeuVector
1
17 MARS 2023

Date Sujet
24 Mars 2023 Coffee Break NeuVector #2
14 Avril 2023 Rancher Rodeo #13
20 Avril 2023 Coffee Break NeuVector #3
Contenu Lien
L'affaire CentOS https://youtu.be/DlSJWxa3mKc
Usine Logicielle https://youtu.be/_vItD1_DyRE
Présentation Neuvector https://youtu.be/UgfTuK8K-yk
Démo Neuvector https://youtu.be/b96yQCZ-I_Q

Copyright © SUSE 2023 4
Préambule
Connaissances de base:
Conteneurisation
Kubernetes
Découverte de NeuVector
Sécurité des conteneurs
Quelques sujets avancés

Setup
Warnings
Objectives
Logistics & Goal
5

Setup your desktop
Rodeo Web Page
Instructions & Web Shell
NeuVector Web UI
Practice
Your host shared screen
Follow, catch-up or learn

Navigateur à jour
– Google Chrome
– Mozilla Firefox
– Autres navigateurs basés sur Chromium
Attention aux bloqueurs de pub
Le mode "incognito" peut être considéré
7
Prérequis

Objectifs
8
1. Défis actuels liés à la sécurité des conteneurs
2. NeuVector
– Fonctionnalités
– Architecture
3. Pratique
– Déploiement
– Expérience utilisateur
– Contrôle
– Découverte des comportements
– Sécurisation
4. Bonus : scénario d’attaque ! 🎉

Container Security
Challenges
9

10
Défis actuels liés à la sécurité des conteneurs
Fiables ? 🤷
Non
fiables
— Prolifération des conteneurs
– Environnements
– Clusters
– Workloads éphémères
— Complexité réseau masquée par K8S
— Sécurité interne (Est-Ouest)
aussi importante que
sécurité du trafic (Nord-Sud)
— Nécessité d’une approche automatisée

11
Défis actuels liés à la sécurité des conteneurs
Non fiables
Non
fiables
— Repenser la limite de sécurité
— Traiter chaque conteneur comme
ayant sa propre limite de sécurité
— Tout automatiser
— Zero-Trust par défaut
— Sécurité de couche 4 (transport) insuffisante
– Inspection/détection de couche 7
(applications)
— Se contenter d'appliquer des correctifs n’est pas
une stratégie
– Risques, menaces et vulnérabilités
— Exploiter les abstractions
– Groupes, labels, annotations, etc.

Capabilities
Available Methods
12

Règles de couche 4
Règles standard de trafic
Règles de couche 7
Avantage unique de NV
Sécurité nord-sud
Sécurité du périmètre
IDS
Intrusion Detection System
Détection et prévention d’intrusion
Gestion de la conformité
et des vulnérabilités
Normes PCI/SOC2/autres…
+ prévention de la perte de données
Chaîne
d’approvisionnement
et sécurité d’exécution
Sécurité de bout en bout
Visibilité et segmentation
du réseau
Visibilité est-ouest
Prévention d’attaques
Zero Day
Identifier, surveiller et bloquer
automatiquement tout trafic
présentant des anomalies

Presentation
NeuVector
14

Layered Security : Defense in depth
Supply Chain Security
Vulnerability Scanning
Compliance Scanning
Admission Control
Runtime Security
Runtime Scanning
Threat Based Controls
Zero-Trust Controls

DEVELOPER
Commits
Code
PRIV/PUB
REGISTRY
Admission
Control
RUN-TIME
Vulnerability Scanning
Compliance Scanning
Admission Control
CI/CD
PIPELINE
Pass
Build

Run Time Security: Defense in Depth
CVEs
Data Loss Prevention (DLP)
Network Attacks
Web App Firewall (WAF)
Admission Control
Threat Based
Controls
Automated Learning
Network
Process
File Access
Security as Code
Zero-Trust
Controls
Runtime Security
Runtime Scanning
Threat Based Controls
Zero-Trust Controls

Runtime - Analyse comportementale
Kubernetes Cluster
Internet to Kubernetes
Pod to Pod
INTERNET
Kubernetes Networking Model
Container to
Container
Pod
Container to
Container
Pod

Kubernetes Cluster
Pod to Pod
INTERNET
Container to
Container
Pod
Container to
Container
Pod
Deep Packet Inspection
• Ports - layer 3/4
• Protocoles - layer 7
+
• Processus & Fichiers

Kubernetes Cluster
Pod to Pod
INTERNET
Container to
Container
Pod
Container to
Container
Pod
DPI enables
• Automated Behavioral Learning
• Auto-Gen Security Policy
• Security as Code
• Zero-Day Countermeasures
• Unknown CVE Countermeasures
• Packet Capture
• Data Loss Prevention

Alerte en cas d’anomalies dans le comportement de l’application
Bloque tout comportement anormal de l’application
Identifie le comportement de l’application (mode apprentissage)
CLUSTER
Node
Pod
Node
Pod
Node
Pod
Pod Pod Pod
ZERO TRUST BEHAVIOR LEARNING
Pod Pod Pod
Discover Discover Discover
Pod Pod Pod
ZERO TRUST SEGMENTATION
Monitor Monitor Monitor
Pod
Pod
Pod
Pod
Pod
Pod
ZERO TRUST SEGMENTATION
Pod
Protect
Pod
Pod
Pod
Protect
Pod
Pod
Pod
Protect
Pod
Pod
Zero-Trust basée sur l’analyse comportementale

Pod Pod Pod
Node Node Node
Pod
Node
Pod
Node
Virtual Switch Virtual Switch Virtual Switch Virtual Switch Virtual Switch
Pod Pod Pod Pod
Pod Pod Pod Pod Pod
Controller Controller Controller
Manage Policies
REST API
Scanner Scanner
Parallel scanning
FAST
Scales for large repositories
Web UI
Manager User Interface
CLI Console
Enforcer Enforcer Enforcer Enforcer Enforcer
Enforce Security Policies
Inspect Network Traffic
Deploy as Daemonset
NeuVector Architecture / Deploiement

• 100% Open Source
• Network Visibility in Production
• Zero Trust Protections
• Network, process and file access
• Data Loss Prevention for Compliance
• Easy to deploy – K8s native
• Designed for any Kubernetes environments
• Support for Air-Gapped Environments
SUSE NeuVector is unique

Get your lab running
Warm-up
24

− Navigate to learn.eu.hobbyfarm.io
− Register with your e-mail and password
− Access Code: nv-fr-4
− Refresh your browser page
− If no scenario shows up, check access code
− Click on "Start Scenario" to ignite the instances provisioning
− Please Wait for the provisioning to complete :)
HobbyFarm

Préparation de l'environnement

Rodeo Web Page
NeuVector Web UI
Practice
Having a short break? 28

Deploy a Kubernetes Cluster
Deploy NeuVector
We need engines
29

− Déploiement d’un cluster Kubernetes
− Installation des prérequis
− Installation de NeuVector
Programme du scénario HobbyFarm

Introduction

Déploiement d'un cluster K8S: moteur RKE2

K8S Cluster test: tooling & interaction

K8S Operator : HELM !

Component: cert-manager to issue TLS Certs

NeuVector deployment using HELM !

Accessing NeuVector (1/4)

Login page (2/4)
Login: admin
Password: admin

EULA agreement (3/4)

Tuning your experience: edit your profile (4/4)

Rodeo Web Page
NeuVector Web UI
Practice
Having a short break? 41

Activate auto-scan
Deploy an app
Start the engine
42

Auto-scanning your nodes: activated!

We need an application: Wordpress !

Scan
Registries
Global view
Notifications
Get to know your cluster
46

Scan results (1/2)

48
Scan results (2/2)

Registries (1/3)

Registries (2/3)
Click to explore !

Registries (3/3)

Global view: Security & Compliance (1/3)

Sometimes this page needs a refresh to display correctly?

Notifications

Admission Control
House Rules
57

Admission Control (1/3)
Monitor mode
by default

Admission Control - Trying to create a pod (2/3)

Admission Control - Testing protect mode (3/3)

Learning rules
- Discover
- Monitor
- Protect
Learning &
Conformity
62

Learning Rules

Learning rules - curl

Monitor

Protect 1/3

Protect but allow execution on the fly 2/3

Protect - Remove a network rule 3/3

Export-Import your rules
… and let's do some cleanup
Security as Code
70

Export-Import your rules (1/3)

Export-Import your rules (2/3)

Clean-up and reset (3/3)

Response rules
Punish a pod
Capture traffic
Reactions
74

Response Rules (1/2)

Response Rules (2/2)

Network Graphs

Network Graphs - Interactions

Packet Capture

Web Application Firewall
Attack with Log4j
Sneak Attack!
81

Web Application Firewall (1/4)

Nos félicitations
Contenu Lien
L'affaire CentOS https://youtu.be/DlSJWxa3mKc
Usine Logicielle https://youtu.be/_vItD1_DyRE
Présentation Neuvector https://youtu.be/UgfTuK8K-yk
Démo Neuvector https://youtu.be/b96yQCZ-I_Q
Date Sujet
24 Mars 2023 Coffee Break NeuVector #2
14 Avril 2023 Rancher Rodeo #13
20 Avril 2023 Coffee Break NeuVector #3

Bravo !

© 2022 SUSE LLC. Tous droits réservés. SUSE et
le logo SUSE sont des marques déposées de
SUSE LLC aux États-Unis et dans d’autres pays.
Toutes les marques commerciales de fabricants
tiers appartiennent à leur propriétaire respectif.
Pour en savoir plus, contactez SUSE aux numéros suivants :
+1 800 796 3700 (États-Unis/Canada)
+49 (0)911-740 53-0 (International)
Maxfeldstrasse 5
90409 Nuremberg
www.suse.com
Merci

Neuvector Rodeo 17 mars 20234

Contenu connexe

Tendances

Plus de SUSE

Neuvector Rodeo 17 mars 20234