API NEWS | ​Kubernetes 中 API 安全的最佳实践

admin 2022年9月14日14:23:56安全闲碎评论2 views1339字阅读4分27秒阅读模式

API NEWS | ​Kubernetes 中 API 安全的最佳实践


欢迎大家围观小阑精心整理的API安全最新资讯,在这里你能看到最专业、最前沿的API安全技术和产业资讯,我们提供关于全球API安全资讯与信息安全深度观察。

本周,我们带来的分享如下:

  • 来自NewStack的关于Kubernetes中API安全最佳实践的文章

  • 关于API中被破坏的访问控制问题的文章


Kubernetes 中 API 安全的最佳实践

本周首先介绍的是Curity 团队关于 Kubernetes API 安全最佳实践的指导。

API NEWS | ​Kubernetes 中 API 安全的最佳实践


本文重点介绍入口控制器在保护基于 Kubernetes API 的实现中的作用:

• 第一个建议是为集群中的 Pod提供单点入口。虽然可以通过服务公开 pod 端口,但这种方法缺乏灵活性和可扩展性。更好的方法是利用入口控制器提供更丰富的企业功能阵列,例如基于名称的虚拟主机、路径映射、代理、缓存和安全功能,例如身份验证和 TLS 终止。作者推荐NGINX Ingress Controller,Kong Ingress Controller,或者Tyk Operator。我在 Traefik Ingress Controller 上取得了巨大的成功。

 第二个建议是限制访问。入口控制器非常适合在中心点执行身份验证和授权。使用OAuth 2.0或OpenID Connect 等标准协议,入口控制器可以在外围验证令牌并执行粗粒度访问控制。主要是入口控制器可以从 API 后端卸载令牌验证任务。

• 安全常识——不信任任何人。作者描述了 Phantom Token 方法来防止将包含敏感数据的 JWT 暴露在集群之外。通过使用功能齐全的入口控制器,幻影令牌可以通过脚本或插件来实现。


API 的访问控制问题


损坏的访问控制对于 API 来说是一个长期存在的问题。本周InfosecWriteups对这个大家熟悉的话题提供了一些不同的看法。

API NEWS | ​Kubernetes 中 API 安全的最佳实践


本文重点介绍了损坏的功能级别和对象级别授权。破坏授权的最有趣(也是经常被忽视)的原因是对客户端参数或值的信任组合。根据定义,必须在客户端维护一些状态历史记录,并且这种状态很容易被攻击者修改。如果服务器端没有通过重新授权(或至少重新验证)来完全验证传入的请求,它可能会盲目信任易于修改的输入。


防止授权被破坏的建议有两个:

• 始终重新验证对记录的访问权限,而不是根据现有的已验证会话假定访问权限。

• 使用单点执行授权。


感谢 APIsecurity.io 提供相关内容


关于星阑



星阑科技基于AI深度感知和强大的自适应机器学习技术,帮助用户迅速发现并解决面临的安全风险和外部威胁,并凭借持续的创新理念和以实战攻防为核心的安全能力,发展成为国内人工智能、信息安全领域的双料科技公司。为解决API安全问题,公司从攻防能力、大数据分析能力及云原生技术体系出发,提供全景化API识别、API高级威胁检测、复杂行为分析等能力,构建API Runtime Protection体系。

星阑科技产品——萤火 (API Intelligence) 拥有不同应用场景的解决方案,适配服务器、容器集群、微服务架构以及云平台等多种架构。通过API资产梳理、漏洞管理、威胁监测、运营与响应能力,解决企业API漏洞入侵、数据泄露两大核心风险。


往期 · 推荐



API NEWS | ​Kubernetes 中 API 安全的最佳实践

API NEWS | ​Kubernetes 中 API 安全的最佳实践

API NEWS | ​Kubernetes 中 API 安全的最佳实践

API NEWS | ​Kubernetes 中 API 安全的最佳实践


API NEWS | ​Kubernetes 中 API 安全的最佳实践

原文始发于微信公众号(星阑科技):API NEWS | ​Kubernetes 中 API 安全的最佳实践

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年9月14日14:23:56
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  API NEWS | ​Kubernetes 中 API 安全的最佳实践 http://cn-sec.com/archives/1296330.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: