IKuznetsov: Новая страница: « = Приём результатов соответствия Kyverno = Принимайте результаты соответствия Kyverno в '''Ключ-АСТРОМ''' как события безопасности. С контекстом времени выполнения от '''Ключ-АСТРОМ''' вы можете анализировать результаты политик '''Kubernetes''' вместе с сервисами и раб...»

2026-09-21T17:16:09Z

Новая страница: « = Приём результатов соответствия Kyverno = Принимайте результаты соответствия Kyverno в '''Ключ-АСТРОМ''' как события безопасности. С контекстом времени выполнения от '''Ключ-АСТРОМ''' вы можете анализировать результаты политик '''Kubernetes''' вместе с сервисами и раб...»

Новая страница

= Приём результатов соответствия Kyverno =
Принимайте результаты соответствия Kyverno в '''Ключ-АСТРОМ''' как события безопасности. С контекстом времени выполнения от '''Ключ-АСТРОМ''' вы можете анализировать результаты политик '''Kubernetes''' вместе с сервисами и рабочими нагрузками, на которые они влияют.

== Начало работы ==

== Обзор ==
Интеграция '''Ключ-АСТРОМ''' с '''Kyverno''' позволяет унифицировать и контекстуализировать результаты политик и соответствия '''Kubernetes''' с другими данными безопасности на платформе '''Ключ-АСТРОМ'''.

'''Kyverno''' — это нативный для '''Kubernetes''' движок политик, который проверяет, изменяет и генерирует конфигурации ресурсов. Когда проверяющие политики развёрнуты в кластере, '''Kyverno''' оценивает целевые ресурсы и создаёт стандартизированные отчёты '''OpenReports'''.

Эта интеграция развёртывает пользовательский дистрибутив '''OpenTelemetry Collector''', который читает '''OpenReports''' Kyverno, преобразует результаты политик в события безопасности '''Ключ-АСТРОМ''' и отправляет их в конечную точку приёма событий безопасности '''OpenPipeline'''.

'''Ключ-АСТРОМ''' сопоставляет принятые данные с сущностями времени выполнения, которые являются частью вашей контролируемой среды, для унифицированного анализа, приоритизации и оркестрации.

== Варианты использования ==
С принятыми данными вы можете реализовать различные сценарии, такие как:

* Визуализация и анализ результатов безопасности
* Обнаружение пробелов в покрытии результатов безопасности
* Автоматизация и оркестрация результатов безопасности

== Требования ==
Ниже приведены требования для '''Kyverno''' и '''Kubernetes''', а также '''Ключ-АСТРОМ'''.

=== Требования Kyverno и Kubernetes ===

* Работающий кластер '''Kubernetes''' версии 1.26 или новее.
* <code>kubectl</code>, настроенный с разрешениями на создание ресурсов <code>ClusterRole</code> и <code>ClusterRoleBinding</code>.
* '''Helm''' 3 или 4.
* '''Kyverno''', установленный с включёнными '''OpenReports'''.
* Развёрнутые в кластере проверяющие политики '''Kyverno'''.

'''Включение OpenReports и настройка метрик Kyverno''' Включите '''OpenReports''' и настройте контроллеры '''Kyverno''' на отправку метрик через '''OTLP gRPC''' со следующими минимальными значениями '''Helm''':<pre>
openreports:
enabled: true
installCrds: true

admissionController:
metering:
disabled: false
config: grpc
port: 4317
collector: otel-collector.astromkey.svc.cluster.local

backgroundController:
metering:
disabled: false
config: grpc
port: 4317
collector: otel-collector.astromkey.svc.cluster.local

cleanupController:
metering:
disabled: false
config: grpc
port: 4317
collector: otel-collector.astromkey.svc.cluster.local

reportsController:
metering:
disabled: false
config: grpc
port: 4317
collector: otel-collector.astromkey.svc.cluster.local
</pre>

=== Требования Ключ-АСТРОМ ===
Сгенерируйте токен платформы или классический токен доступа и сохраните его для дальнейшего использования.
{| class="wikitable"
!Область токена платформы
!Область классического токена доступа
!Назначение
|-
|<code>openpipeline:security.events:ingest</code>
|<code>openpipeline.events_security</code>
|Приём событий безопасности через <code>/platform/ingest/v1/security.events</code>.
|-
|<code>openpipeline:metrics:ingest</code>
|<code>metrics.ingest</code>
|Отправка метрик '''OTLP''' в '''Ключ-АСТРОМ'''.
|-
|<code>openpipeline:logs:ingest</code>
|<code>logs.ingest</code>
|Отправка логов '''OTLP''' в '''Ключ-АСТРОМ'''.
|-
|<code>openpipeline:traces:ingest</code>
|<code>openTelemetryTrace.ingest</code>
|Отправка трассировок '''OTLP''' в '''Ключ-АСТРОМ'''.
|}

== Активация и настройка ==
Чтобы интегрировать '''OpenReports''' Kyverno с '''Ключ-АСТРОМ''', разверните пользовательский '''Коллектор событий безопасности Ключ-АСТРОМ''' в вашем кластере '''Kubernetes'''.

Требуемый образ коллектора доступен по адресу:<pre>
ghcr.io/astromkey-oss/astromkey-security-events-collector:latest
</pre>Этот образ коллектора может принимать, анализировать и преобразовывать '''OpenReports''' Kyverno в события безопасности '''Ключ-АСТРОМ''', которые соответствуют '''Семантическому словарю Ключ-АСТРОМ'''.

Используйте один из следующих подходов к развёртыванию.

=== OpenTelemetry Operator ===
'''Рекомендуется'''

Используйте этот вариант, если у вас уже установлен '''OpenTelemetry Operator''' или вы предпочитаете управление жизненным циклом на основе '''CRD'''.

'''1. Подготовьте среду'''

Создайте пространство имён.<pre>
kubectl create namespace astromkey
</pre>Создайте секрет '''Kubernetes''' с вашей конечной точкой '''Ключ-АСТРОМ''', '''API'''-токеном и именем кластера.<pre>
kubectl -n astromkey create secret generic astromkey-secrets \
--from-literal=endpoint=https://<your-environment>.astromkey.com \
--from-literal=api-token=dt0XXX.XXXXXXXX \
--from-literal=cluster-name=<your-cluster-name>
</pre>Замените:

* <code><your-environment></code> на вашу среду '''Ключ-АСТРОМ'''.
* <code>dt0XXX.XXXXXXXX</code> на токен платформы или классический токен доступа, который вы сгенерировали для этой интеграции.
* <code><your-cluster-name></code> на имя, идентифицирующее этот кластер в '''Ключ-АСТРОМ''' (например, <code>prod-eu-1</code>). Имя кластера необязательно, но рекомендуется для многое кластерных конфигураций.

Примените разрешения '''RBAC'''.<pre>
curl -O https://raw.githubusercontent.com/astromkey-oss/astromkey-security-events-collector/refs/heads/master/manifests/rbac.yaml
kubectl apply -f rbac.yaml
</pre>'''2. Установите OpenTelemetry Operator'''

Пропустите этот шаг, если '''OpenTelemetry Operator''' уже установлен в вашем кластере.<pre>
helm repo add open-telemetry https://open-telemetry.github.io/opentelemetry-helm-charts
helm install opentelemetry-operator open-telemetry/opentelemetry-operator \
--namespace opentelemetry-operator-system --create-namespace
</pre>'''3. Разверните коллектор'''

Файл <code>openTelemetry-manifest_statefulset.yaml</code> определяет пользовательский ресурс <code>OpenTelemetryCollector</code>, которым управляет оператор.<pre>
curl -O https://raw.githubusercontent.com/astromkey-oss/astromkey-security-events-collector/refs/heads/master/manifests/openTelemetry-manifest_statefulset.yaml
kubectl apply -f openTelemetry-manifest_statefulset.yaml
</pre>Используйте пользовательский образ коллектора с <code>ghcr.io/astromkey-oss/astromkey-security-events-collector:latest</code>. Стандартный образ '''OpenTelemetry Collector''' не включает необходимые плагины '''Security Event Processor''' и '''Exporter'''.

'''4. Проверьте развёртывание'''

Проверьте статус пода.<pre>
kubectl -n astromkey get pods
</pre>Вы должны увидеть под с именем <code>security-events-collector-*</code> со статусом '''Running'''.

Проверьте логи.<pre>
kubectl -n astromkey logs -l app.kubernetes.io/name=security-events-collector --tail=50
</pre>Ищите строки логов, в которых упоминается обработка '''OpenReports''' и экспорт событий.

Проверьте события в '''Ключ-АСТРОМ'''.

После того как первые результаты будут отправлены, выполните следующий запрос в '''Notebooks''':<pre>
fetch security.events
| filter dt.system.bucket == "default_securityevents"
| filter event.kind == "SECURITY_EVENT"
AND event.provider == "Kyverno"
AND event.type == "COMPLIANCE_FINDING"
</pre>'''5. Удалите интеграцию'''

Удаление коллектора останавливает приём новых событий безопасности. Оно не удаляет события, которые уже были сохранены. Эти события сохраняются в соответствии с политикой хранения данных вашей среды.

Удалите ресурс <code>OpenTelemetryCollector</code>.<pre>
kubectl -n astromkey delete opentelemetrycollector otel
</pre>Опционально: удалите '''OpenTelemetry Operator''', если он был установлен только для этой интеграции.<pre>
helm uninstall opentelemetry-operator --namespace opentelemetry-operator-system
</pre>Удалите общие ресурсы.<pre>
kubectl delete clusterrolebinding otelcontribcol
kubectl delete clusterrole otelcontribcol
kubectl -n astromkey delete serviceaccount security-events-collector
kubectl -n astromkey delete secret astromkey-secrets
</pre>

=== Манифесты Kubernetes ===
Используйте этот вариант, если вы не можете установить '''OpenTelemetry Operator''' или предпочитаете обычные манифесты '''Kubernetes'''.

'''1. Подготовьте среду'''

Создайте пространство имён.<pre>
kubectl create namespace astromkey
</pre>Создайте секрет '''Kubernetes''' с вашей конечной точкой '''Ключ-АСТРОМ''', '''API'''-токеном и именем кластера.<pre>
kubectl -n astromkey create secret generic astromkey-secrets \
--from-literal=endpoint=https://<your-environment>.astromkey.com \
--from-literal=api-token=dt0XXX.XXXXXXXX \
--from-literal=cluster-name=<your-cluster-name>
</pre>Замените:

* <code><your-environment></code> на вашу среду '''Ключ-АСТРОМ'''.
* <code>dt0XXX.XXXXXXXX</code> на токен платформы или классический токен доступа, который вы сгенерировали для этой интеграции.
* <code><your-cluster-name></code> на имя, идентифицирующее этот кластер в '''Ключ-АСТРОМ''' (например, <code>prod-eu-1</code>).

Примените разрешения '''RBAC'''.<pre>
curl -O https://raw.githubusercontent.com/astromkey-oss/astromkey-security-events-collector/refs/heads/master/manifests/rbac.yaml
kubectl apply -f rbac.yaml
</pre>'''2. Примените ConfigMap коллектора'''

Файл <code>configmap.yaml</code> хранит конфигурацию конвейера коллектора и монтирует её в под коллектора при запуске.<pre>
curl -O https://raw.githubusercontent.com/astromkey-oss/astromkey-security-events-collector/refs/heads/master/manifests/configmap.yaml
kubectl apply -f configmap.yaml
</pre>'''3. Разверните коллектор'''

Файл <code>collector-deployment.yaml</code> определяет '''Deployment''' и сервис '''ClusterIP''', который предоставляет доступ к коллектору внутри кластера.<pre>
curl -O https://raw.githubusercontent.com/astromkey-oss/astromkey-security-events-collector/refs/heads/master/manifests/collector-deployment.yaml
kubectl apply -f collector-deployment.yaml
</pre>Используйте пользовательский образ коллектора с <code>ghcr.io/astromkey-oss/astromkey-security-events-collector:latest</code>. Стандартный образ '''OpenTelemetry Collector''' не включает необходимые плагины '''Security Event Processor''' и '''Exporter'''.

'''4. Проверьте развёртывание'''

Проверьте статус пода.<pre>
kubectl -n astromkey get pods
</pre>Вы должны увидеть под с именем <code>dt-security-events-collector-*</code> со статусом '''Running'''.

Проверьте логи.<pre>
kubectl -n astromkey logs -l app=dt-security-events-collector --tail=50
</pre>Ищите строки логов, в которых упоминается обработка '''OpenReports''' и экспорт событий.

Проверьте конечную точку метрик.<pre>
kubectl -n astromkey port-forward deployment/dt-security-events-collector 8888:8888
curl -s http://localhost:8888/metrics | grep processor_securityevent
</pre>Вы должны увидеть счётчики <code>processor_securityevent_incoming_logs_total</code> и <code>processor_securityevent_outgoing_logs_total</code>.

Проверьте события в '''Ключ-АСТРОМ'''.

После того как первые результаты будут отправлены, выполните следующий запрос в '''Notebooks''':<pre>
fetch security.events
| filter dt.system.bucket == "default_securityevents"
| filter event.kind == "SECURITY_EVENT"
AND event.provider == "Kyverno"
AND event.type == "COMPLIANCE_FINDING"
</pre>'''5. Удалите интеграцию'''

Удаление коллектора останавливает приём новых событий безопасности. Оно не удаляет события, которые уже были сохранены.

Удалите '''Service''' и '''Deployment'''.<pre>
kubectl -n astromkey delete service otel-collector
kubectl -n astromkey delete deployment dt-security-events-collector
</pre>Удалите '''ConfigMap'''.<pre>
kubectl -n astromkey delete configmap dt-security-collector-config
</pre>Удалите общие ресурсы.<pre>
kubectl delete clusterrolebinding otelcontribcol
kubectl delete clusterrole otelcontribcol
kubectl -n astromkey delete serviceaccount security-events-collector
kubectl -n astromkey delete secret astromkey-secrets
</pre>Опционально: удалите пространство имён, если оно было создано только для этой интеграции и не содержит других ресурсов.<pre>
kubectl delete namespace astromkey
</pre>Удаление пространства имён удаляет все ресурсы внутри него, включая другие рабочие нагрузки или секреты. Выполните <code>kubectl -n astromkey get all</code> перед удалением пространства имён, чтобы убедиться, что оно не содержит нужных вам ресурсов.

== Детали ==

=== Как это работает ===
'''Интеграция Kyverno''' — результаты соответствия Kyverno проходят из '''OpenReports''' через '''Коллектор событий безопасности Ключ-АСТРОМ''' в конечную точку событий безопасности '''OpenPipeline''', где '''Ключ-АСТРОМ''' сохраняет их как события безопасности.

* '''Kyverno''' проверяет ресурсы '''Kubernetes''' на соответствие развёрнутым проверяющим политикам. Для каждой оценки политики '''Kyverno''' создаёт '''OpenReports''', содержащие результаты по каждому ресурсу с серьёзностью и деталями соответствия.
* Получатель <code>k8sobjects</code> в '''OpenTelemetry Collector''' читает ресурсы <code>reports</code> и <code>clusterreports</code> из группы '''API''' <code>openreports.io</code> через настроенный интервал.
* Пользовательский процессор <code>securityevent</code> анализирует каждый '''OpenReport''', извлекает отдельные результаты политик и сопоставляет их с семантической моделью данных событий безопасности '''Ключ-АСТРОМ'''. Сопоставление добавляет серьёзность, оценку риска, статус соответствия, заголовок результата, поставщика продукта и контекст '''Kubernetes'''.
* Процессор <code>k8sattributes</code> добавляет метаданные '''Kubernetes''', такие как '''UID''' кластера и пространство имён. Процессор <code>resource</code> добавляет имя кластера.
* Пользовательский экспортёр <code>securityevent</code> отправляет пакетные '''HTTP POST'''-запросы на <code>/platform/ingest/v1/security.events</code>, аутентифицированные '''API'''-токеном '''Ключ-АСТРОМ'''.
* '''Ключ-АСТРОМ''' сохраняет события безопасности в бакете <code>default_securityevents</code>. События становятся доступными для запросов в '''Notebooks''', '''Investigations''' и '''Дашбордах''', и вы можете использовать их в рабочих процессах.

=== Расширенная конфигурация ===
'''Коллектор событий безопасности Ключ-АСТРОМ''' — это пользовательский дистрибутив '''OpenTelemetry Collector''', который объединяет три компонента в конвейере логов для преобразования данных соответствия политик '''Kubernetes''' в события безопасности '''Ключ-АСТРОМ'''.<pre>
k8sobjects receiver securityevent processor securityevent exporter
(pulls OpenReports) -> (transforms to events) -> (posts to Astromkey)
</pre>Тип конвейера — '''logs''', потому что получатель <code>k8sobjects</code> выдаёт объекты '''Kubernetes''' как записи логов. Процессор и экспортёр работают с этими записями логов.

==== Настройка сбора OpenReports ====
Получатель <code>k8sobjects</code> отслеживает или извлекает пользовательские ресурсы '''Kubernetes''' и выдаёт их как записи логов. Эта интеграция использует его для извлечения '''OpenReports''' из '''Kyverno''' и других движков политик, реализующих спецификацию '''OpenReports'''.

'''Конфигурация получателя OpenReports'''<pre>
receivers:
k8sobjects:
auth_type: serviceAccount
objects:
- name: clusterreports
group: openreports.io
mode: pull
interval: 10m
- name: reports
group: openreports.io
mode: pull
interval: 10m
</pre>
{| class="wikitable"
!Параметр
!Описание
|-
|<code>auth_type</code>
|Метод аутентификации. Используйте <code>serviceAccount</code> при работе внутри '''Kubernetes'''.
|-
|<code>objects[].name</code>
|Имя ресурса '''Kubernetes''' для сбора. Используйте <code>clusterreports</code> для отчётов уровня кластера и <code>reports</code> для отчётов в пространствах имён.
|-
|<code>objects[].group</code>
|Группа '''API'''. '''OpenReports''' используют <code>openreports.io</code>.
|-
|<code>objects[].mode</code>
|Режим сбора. <code>pull</code> извлекает все объекты по расписанию. <code>watch</code> передаёт изменения в реальном времени.
|-
|<code>objects[].interval</code>
|Как часто извлекать отчёты. По умолчанию — <code>10m</code>. Меньшие значения увеличивают нагрузку на '''API'''-сервер.
|}

==== Фильтрация по статусу ====
По умолчанию процессор обрабатывает все статусы результатов '''Kyverno''': <code>pass</code>, <code>fail</code>, <code>error</code> и <code>skip</code>. Чтобы уменьшить объём событий и затраты на приём, вы можете обрабатывать только определённые статусы.

'''Конфигурация фильтра статуса'''<pre>
processors:
securityevent:
processors:
openreports:
enabled: true
status_filter:
- "fail"
- "error"
</pre>

== Лицензирование и затраты ==
Информацию о выставлении счетов см. в разделе «События».

== Часто задаваемые вопросы ==
'''Какой тип данных принимается из Kyverno?''' Коллектор принимает события результатов соответствия: одно событие безопасности на каждый результат политики и ресурс '''Kubernetes''', оценённый '''Kyverno'''. Каждое событие представляет собой один вердикт '''pass''', '''fail''', '''error''' или '''skip''' от правила политики '''Kyverno''', применённого к конкретному ресурсу.

'''Ключ-АСТРОМ''' классифицирует эти события как <code>COMPLIANCE_FINDING</code> с категорией <code>COMPLIANCE</code> в схеме событий безопасности.

'''Как результаты соответствия Kyverno импортируются в Ключ-АСТРОМ?''' Интеграция работает по принципу push из кластера '''Kubernetes''' в '''Ключ-АСТРОМ'''. Пользовательский коллектор периодически читает '''OpenReports''' из '''API''' '''Kubernetes''' и отправляет преобразованные события безопасности в конечную точку приёма событий безопасности '''Ключ-АСТРОМ'''.

Получатель <code>k8sobjects</code> запрашивает ресурсы <code>reports</code> и <code>clusterreports</code> с фиксированным интервалом. Каждое извлечение получает существующие отчёты. Процессор использует дедупликацию на основе '''SHA256''', чтобы предотвратить создание дубликатов событий в '''Ключ-АСТРОМ''' из ранее отправленных результатов.

Фоновый сканер '''Kyverno''' работает по своему собственному расписанию, которое по умолчанию составляет 1 час. Интервал коллектора и расписание сканирования '''Kyverno''' независимы.

'''Сколько событий генерирует один OpenReport?''' Один '''OpenReport''' обычно содержит множество отдельных результатов политик, по одному результату на каждый оценённый ресурс. Например, если политика нацелена на 50 '''Deployments''', отчёт содержит 50 результатов, и процессор расширяет это до 50 отдельных событий безопасности.

Вы можете отслеживать это расширение с помощью метрик процессора:

* <code>processor_securityevent_incoming_logs_total</code>: полученные отчёты
* <code>processor_securityevent_outgoing_logs_total</code>: отправленные события

'''Какие типы политик Kyverno создают отчёты?''' Только проверяющие типы политик создают '''OpenReports''', которые могут быть приняты. Политики изменения, генерации, удаления и очистки не создают отчёты и не отображаются в '''Ключ-АСТРОМ''' через эту интеграцию.
{| class="wikitable"
!Тип политики
!Область
!Тип отчёта
|-
|ClusterPolicy
|Уровень кластера
|clusterreports
|-
|Policy
|Пространство имён
|reports
|-
|ClusterValidatingPolicy
|Уровень кластера
|clusterreports
|-
|ValidatingPolicy
|Пространство имён
|reports
|-
|ImageValidatingPolicy
|Уровень кластера
|clusterreports
|-
|ClusterImageValidatingPolicy
|Уровень кластера
|clusterreports
|-
|NamespacedImageValidatingPolicy
|Пространство имён
|reports
|}
'''Как сопоставляются серьёзность и оценка риска?''' '''Ключ-АСТРОМ''' сопоставляет уровни риска и оценки из исходной серьёзности политики '''Kyverno'''. Если серьёзность не указана в политике, '''Ключ-АСТРОМ''' использует '''MEDIUM'''.
{| class="wikitable"
!dt.security.risk.level (сопоставлено из finding.severity)
!dt.security.risk.score
|-
|critical → CRITICAL
|10,0
|-
|high → HIGH
|8,9
|-
|medium → MEDIUM
|6,9
|-
|low → LOW
|3,9
|-
|отсутствует или неизвестно → NONE
|0,0
|}
'''Могу ли я использовать стандартный образ OpenTelemetry Collector?''' Нет. Эта интеграция требует плагинов '''Security Event Processor''' и '''Security Event Exporter'''. Эти плагины не являются частью стандартных дистрибутивов '''OpenTelemetry Collector''' или '''Collector Contrib'''. Используйте предварительно собранный образ с <code>ghcr.io/astromkey-oss/astromkey-security-events-collector:latest</code> или соберите пользовательский коллектор, включающий эти плагины.

'''Что произойдёт, если коллектор перезапустится?''' Коллектор прочитает все существующие '''OpenReports''' при следующем интервале. Дедупликация на основе '''SHA256''' в процессоре предотвращает отправку дубликатов событий в '''Ключ-АСТРОМ'''. Данные не теряются.

'''Могу ли я использовать эту интеграцию с несколькими кластерами?''' Да. Коллектор каждого кластера должен задать уникальное значение <code>k8s.cluster.name</code> через переменную окружения <code>CLUSTERNAME</code> или ключ <code>cluster-name</code> в секрете '''Kubernetes'''.

Затем вы можете фильтровать события по кластеру в '''DQL''':<pre>
fetch security.events
| filter event.type == "COMPLIANCE_FINDING"
| filter k8s.cluster.name == "production-eu-west-1"
</pre>

Приём результатов соответствия Kyverno - История изменений