Admission Control für Kubernetes. Signierte Belege für Ihren Auditor.
Bestimmen Sie, welche Images im Cluster laufen, mit signiertem Beleg jeder Entscheidung, im Cluster selbst.
Was ist Attestkeep?
Attestkeep ist Container-Image-Sicherheit für Kubernetes mit eingebauten Audit-Belegen. Es scannt jedes Image mit einer alle 6 Stunden aktualisierten Datenbank auf Schwachstellen, prüft Signaturen, SBOMs und Provenance und lässt jeden Pod nach Ihrer Policy am Eingang zu oder lehnt ihn ab. Über Falco beobachtet es, was läuft, und kann aufzeichnen, ein Issue öffnen oder einen Pod stoppen. Jede Entscheidung landet in einem signierten Ledger, aus dem Evidence Packages für 13 Compliance-Frameworks entstehen, die Ihr Auditor ohne uns prüfen kann. Ein Helm Release, in Ihrem Cluster; nichts über Ihre Images verlässt ihn.
In Aktion sehenFür wen ist Attestkeep?
Für Kubernetes-Teams, die nachweisen müssen, was läuft, und es nicht nur laufen lassen.
Security-Verantwortliche
Die Policy einmal festlegen. Ihre Durchsetzung nachweisen.
- Policy als CRD, in Git
- Regeln für aktiv ausgenutzte CVEs und End-of-Life-Basis-Images
- Ein Ledger jeder Allow- und Deny-Entscheidung samt der angewandten Policy
- Nichts verlässt den Cluster: kein SaaS, kein Daten-Upload
Developer- und DevSecOps-Teams
Ein Helm-Release. Admission wartet nie auf einen Scan.
- Ein Helm Release, im eigenen Cluster
- Trivy-Scan, cosign-Signatur und Attestation-Prüfung am Eingang
- What-if-Replay und Break-glass, bevor Sie durchsetzen
- Falco-Events werden zu Einträgen, Issues oder einem gestoppten Pod
Auditoren
Evidence in Ihrem Format, ohne uns prüfbar.
- Evidence Packages für 13 Frameworks, jede Klausel zitiert
- Vom Cluster signiert, im Browser prüfbar, ohne uns
- Zu jedem Eintrag die Policy-Revision und das Urteil
- Ein Handbuch mit 52 Seiten und Screenshots einer echten Installation
Kritische Schwachstellen, die das Gate schon kennt.
Alle sechs Stunden holt Attestkeep die Trivy Vulnerability Database, dieselbe, die der Scanner in Ihrem Cluster liest. Die neuesten als kritisch eingestuften Einträge, und wann das Gate es wusste.
Alle kritischen SchwachstellenFünf Teile, ein Helm-Release.
Admission Control
Scannen, Signatur prüfen, am Eingang entscheiden. Die Admission liest ein gecachtes Urteil und wartet daher nie auf einen Scan.
Admission ControlNachweispakete
Ein Zeitraumbericht, einem Framework zugeordnet, von Ihrem Cluster signiert, für jeden prüfbar.
NachweispaketeRuntime mit Falco
Falco sieht, Attestkeep urteilt. Ihre Policies machen aus Falco-Events Einträge, Benachrichtigungen, Issues oder einen gestoppten Pod.
Runtime mit FalcoSupply Chain
Signaturen, SBOMs, Build-Provenance und Herstellererklärungen, geprüft, bevor ein Image startet.
Supply ChainBetrieb
Benachrichtigungen, Issue-Tracker-Sync und air-gapped Cluster: wie sich Attestkeep in Ihre vorhandenen Werkzeuge und Netze einfügt.
BetriebEine Kette, in Ihrem Cluster.
- ScannenTrivy, im Cluster
- Signatur prüfencosign, Key oder keyless
- Admission-EntscheidungIhre Policy, auf dem gecachten Ergebnis
- Festhaltenjedes Allow und Deny, im Ledger
- Bericht signierenmit dem Installationsschlüssel
- Überall prüfendurch Ihren Auditor, ohne uns
Sehen Sie zu, wie es etwas ablehnt.
Installieren Sie Attestkeep mit einem Helm Release und sehen Sie dem Gate beim Entscheiden zu. Jede Sicherheitsfunktion ist in der kostenlosen Edition enthalten.
Drei Ausgangslagen.
Noch keine Admission ControlNichts prüft ein Image, bevor es läuft.
Ein Helm-Release installiert Operator, Konsole und Datenbank in einen Namespace, der Ihnen gehört. Trivy scannt die Images, cosign prüft ihre Signaturen, und die Admission weist ab, was Ihre Policy nicht erlaubt. Die Community Edition ist kostenlos und läuft nicht ab.
Admission ControlEin Audit steht anDer Auditor will Belege, keine Screenshots.
Sie wählen ein Framework und einen Zeitraum. Attestkeep ordnet die clustereigenen Admission- und Scan-Einträge den Anforderungen dieses Frameworks zu und signiert den Bericht im Cluster. Ihr Auditor prüft die Signatur mit eigenen Werkzeugen, ohne bei uns nachzufragen.
NachweispaketeIm großen MaßstabRegeln, die halten, wenn viele Teams deployen.
Die Policy ist eine Kubernetes-Ressource, die Ihr Argo CD oder Flux verwalten kann. Akzeptierte Risiken tragen eine Begründung und ein Ablaufdatum, Break-Glass wird aufgezeichnet, und ein neuer kritischer Befund öffnet ein Ticket in GitHub, GitLab oder Jira. Die Anmeldung läuft über Ihren bestehenden Identity Provider.
Das ProduktNichts hier verlangt, dass Sie uns beim Wort nehmen.
Drei gute Tools und die Nahtstelle dazwischen.
Jedes dieser Werkzeuge löst einen Teil der Aufgabe gut und ist kostenlos. Keines vereint Scanner, Signaturprüfung und den Eintrag der Entscheidung an einem Ort, und genau danach fragt der Auditor.