Admission control para Kubernetes. Pruebas firmadas para su auditor.
Decida qué images se ejecutan en su cluster, con la prueba firmada de cada decisión, dentro del propio cluster.
¿Qué es Attestkeep?
Attestkeep es seguridad de container images para Kubernetes, con las pruebas de auditoría integradas. Escanea cada image en busca de vulnerabilidades con una base actualizada cada 6 horas, verifica firmas, SBOM y provenance, y admite o rechaza cada pod en la puerta según su policy. A través de Falco vigila lo que se ejecuta y puede registrar, abrir una issue o detener un pod. Cada decisión entra en un registro firmado, del que produce evidence packages para 13 frameworks de cumplimiento que su auditor puede verificar sin nosotros. Un solo Helm release, dentro de su cluster; nada de sus images sale de él.
Verlo en acción¿Para quién es Attestkeep?
Para equipos de Kubernetes que deben demostrar qué se ejecuta, no solo ejecutarlo.
Responsables de seguridad
Definir la policy una vez. Demostrar que se aplicó.
- La policy es una CRD, guardada en Git
- Reglas para CVE explotadas y base images al final de su vida
- Un registro de cada allow y deny, con la policy que se aplicó
- Nada sale del cluster: sin SaaS, sin subida de datos
Desarrolladores y equipos DevSecOps
Un solo release de Helm. La admission nunca espera un scan.
- Un solo Helm release, en su propio cluster
- Escaneo Trivy, firma cosign y attestations comprobados en la puerta
- Replay what-if y break-glass antes de aplicar
- Los eventos de Falco se convierten en registros, issues o un pod detenido
Auditores
Evidencia en su formato, verificable sin nosotros.
- Evidence packages para 13 marcos, cada cláusula citada
- Firmados por el cluster, verificables en un navegador sin nosotros
- Tras cada registro, la revisión de policy y el veredicto
- Un manual de 52 páginas con capturas de una instalación real
Vulnerabilidades críticas que el gate ya conoce.
Cada seis horas Attestkeep descarga la Trivy vulnerability database, la misma que el scanner lee dentro de su cluster. Las entradas críticas más recientes, y cuándo lo supo el gate.
Ver todas las vulnerabilidades críticasCinco partes, un release de Helm.
Admission control
Escanear, verificar la firma y decidir en la puerta. La admission lee un veredicto en caché, así que nunca espera a un escaneo.
Admission controlPaquetes de evidencia
Un informe del periodo vinculado a un framework, firmado por su cluster y verificable por cualquiera.
Paquetes de evidenciaRuntime con Falco
Falco ve, Attestkeep decide. Sus policies convierten los eventos de Falco en registros, avisos, issues o un pod detenido.
Runtime con FalcoSupply chain
Firmas, SBOM, provenance de build y declaraciones del fabricante, comprobadas antes de que se ejecute una image.
Supply chainOperaciones
Notificaciones, sincronización con trackers y clusters air-gapped: cómo encaja Attestkeep en las herramientas y redes que ya utiliza.
OperacionesUna cadena, dentro de su cluster.
- EscanearTrivy, dentro del cluster
- Verificar la firmacosign, con clave o keyless
- Decidir en admissionsu policy, sobre el veredicto en caché
- Registrarcada allow y deny, en el ledger
- Firmar el informecon la clave de la instalación
- Verificar donde seasu auditor, sin nosotros
Véalo rechazar algo.
Instale Attestkeep con un solo Helm release y vea decidir a la puerta. Todas las funciones de seguridad están en la edición gratuita.
Tres puntos de partida.
Todavía sin admission controlNada revisa una image antes de que se ejecute.
Un único release de Helm instala el operator, su consola y su base de datos en un namespace de su propiedad. Trivy escanea las images, cosign verifica sus firmas y la admission rechaza lo que su policy no permite. Community Edition es gratuita y no caduca.
Admission controlAnte una auditoríaEl auditor quiere pruebas, no capturas.
Elija un framework y un periodo. Attestkeep relaciona los registros de admission y de escaneo del propio cluster con los requisitos de ese framework y firma el informe dentro del cluster. Su auditor verifica la firma con sus propias herramientas, sin tener que preguntarnos.
Paquetes de evidenciaA gran escalaReglas firmes, despliegue quien despliegue.
La policy es un recurso de Kubernetes que puede gestionar su Argo CD o Flux. Cada riesgo aceptado lleva un motivo y una fecha de caducidad, el break-glass queda registrado y un hallazgo crítico nuevo abre un ticket en GitHub, GitLab o Jira. El inicio de sesión pasa por el proveedor de identidad que ya utiliza.
El productoNada de esto le pide que nos crea sin más.
Tres buenas herramientas y el hueco entre ellas.
Cada una de estas herramientas hace bien una parte del trabajo y es gratuita. Ninguna reúne en un mismo lugar un escáner, un verificador de firmas y el registro de la decisión, que es justo lo que pregunta un auditor.