Revisión Técnica 2 - G1

Actualmente la empresa "Kode Soft" tiene una brecha de seguridad referente al uso de secretos en la fase Run por parte de sus desarrolladores, actualmente hacen uso de las herramienta Azure DevOps y Jenkins. El CISO desea establecer un control qué deniegue uso (creación) de secretos dentro de sus clústeres GKE (Google Kubernetes Engine). Para ello le pregunta:

¿De qué manera podría implementar este control con los servicios de GCP y/o Prisma Cloud, y cómo hacer el enforcement del mismo control? (Seleccione todas las que apliquen)

• Crear una regla de Checkov que no permita incluir los parámetros del secreto en la configuración del pod.

• Crear los secretos en Google Secrets Manager y llamarlos desde GKE.

• Implementar un control de OPA con lenguaje Rego que deniegue la creación del objeto tipo "Secret".

• Quitar el acceso de los desarrolladores al cluster y centralizar el despliegue en un solo ingeniero.

Un cliente está preocupado por su gestión y administración de identidades no humanas dentro de sus componentes Cloud Native, actualmente sus recursos están desplegados en un cluster de K8S multicloud, con Worker Nodes en AWS, Azure y GCP.

Una de sus preocupaciones principales es poder centralizar la administración de los secretos y reducir la carga operativa propia de la gestión. Usted cómo experto de seguridad cloud native, ¿qué solución al caso de uso le podría sugerir para administrar sus secretos?

• Usar herramientas de administración de secretos tipo AWS Secrets Manager, Azure Key Vault y OCI Vault por cada CSP.

• Usar Secretos de kubernetes.

• Usar alguna herramienta de fabricante qué ofrezca un servicio de Vault y qué soporte integración con las nubes principales.

• Entregar una copia de secretos necesarios a cada desarrollador.

Un cliente tiene Prisma Cloud implementado para escaneo Agentless de sus funciones en AWS Lambda, en ese sentido, el cliente desea poder ser alertado a el canal de Seguridad en SLACK y solamente una vez al día de cuales son los CVE ID qué se encuentran en sus recursos desplegados, ¿cómo debería configurar Prisma Cloud para qué cumpla el efecto deseado de alertamiento?

• Crear la regla de alertamiento en Prisma Cloud - Compute - Alerts - Create Alert Rule.

• Desarrollar un script qué descargue el reporte de vulnerabilidades desde la API de prisma y publique el reporte en Slack a través de un Webhook.

• Configurar la integración de Slack en Prisma Cloud - Settings Integration.

Un cliente hace uso del módulo Application Security en Prisma Cloud para escaneo de sus templates de Terraform en BitBucket y K8S en GitLab. Ocurre una reunión inmediata con el CISO para revisar el estado general de la seguridad en IaC de la organización. El analista asignado al proyecto necesita con urgencia unos tableros de alto nivel que muestren un overview general en cuanto a seguridad en IaC. ¿Qué característica de Prisma recomendaría usar?

El equipo de infraestructura de "Kode Soft" ha creado un nuevo cluster en GKE - Autopilot que soportará todos los ambientes backend de su nuevo proyecto, una app móvil, los ambientes serán aislados lógicamente por namespaces. Este clúster estará protegido por el Container Defender de Prisma Cloud, para testing, el equipo de desarrollo está desplegando sus pods de pruebas únicamente dentro de un sólo Worker Node con el Tag "Env=Dev". Al momento de hacer el despliegue del daemonset del defender, este falla únicamente en el Worker Node con el tag Env=Dev. Al correr el comando "kubectl get pods -A" ve que el pod del daemonset queda con status "CrashLoopBackOff"

¿Cuál es la razón más probable de la falla?

• El "Node Affinity" por defecto para los pods del DaemonSet no permite qué se programe el pod para correr en el nodo.

• El nodo ya no cuenta con los recursos disponibles para asignarle al pod del Defender.

• No es posible descargar la imágen docker del defender desde el registry de Twistlock.

• El nodo está siendo actualizado por el administrador del clúster.

Un cliente requiere un enfoque de RBAC para gestionar sus accesos a AWS (Console, CLI & SDK) pero con las siguientes restricciones:

1. No usar usuarios IAM nombrados ni federados.

2. Acceso basado en roles IAM predefinidos.

3. Usar servicios propios de AWS.

Cómo consultor de administración segura de identidades ¿De qué manera manera y con qué herramienta/servicio puede dar solución al requerimiento del cliente?

En el momento de la instalación del defender dentro de un cluster OpenShift, el cliente expresa el condicional de la conectividad indicando qué "localmente" la salida a internet se realiza a través de un proxy por el puerto 8080. ¿Cuál de los siguientes un formato válido para el campo del proxy?

• proxyserver.local/openshift:8080

• tcp://proxyserver.local:8080

• https://proxyserver.local:8080

• udp://proxyserver.8080

El cliente requiere una regla OPA, (no necesariamente para Prisma) qué deniegue el despliegue de imágenes docker en K8S que no provengan de los siguientes registries: "registry-aws.kodesoft.com", "registry-gitlab.kodesoft.com" y "ecr.amazonaws.com"

¿Cuál sería la regla OPA qué entrega para poder cumplir con el requerimiento?