Kubernetes için admission control. Denetçiniz için imzalı kanıt.
Cluster'ınızda hangi image'ların çalışacağına karar verin, her kararın imzalı kanıtı cluster'ın içinde kalsın.
Attestkeep nedir?
Attestkeep, Kubernetes için bir container image güvenlik ürünüdür; denetim kanıtı içinde gelir. Her image'ı 6 saatte bir yenilenen veri tabanıyla zafiyet için tarar, imza, SBOM ve provenance'ı doğrular, her pod'u policy'nize göre kapıda kabul eder ya da reddeder. Falco üzerinden çalışanı izler; kaydedebilir, issue açabilir ya da pod'u durdurabilir. Her karar imzalı bir deftere girer; o defterden denetçinizin bize sormadan doğrulayabileceği 13 compliance framework'ü için evidence package üretir. Tek Helm release, kendi cluster'ınızda; image'larınıza dair hiçbir şey dışarı çıkmaz.
Çalışırken görünAttestkeep kimler için?
Ne çalıştığını yalnızca çalıştırmak değil, kanıtlamak zorunda olan Kubernetes ekipleri için.
Güvenlik yöneticileri
Policy'yi bir kez belirleyin. Uygulandığını kanıtlayın.
- Policy bir CRD, Git'te durur
- Aktif istismar edilen CVE'ler ve ömrü dolmuş base image'lar için kurallar
- Her allow ve deny kararı, çalışan policy ile birlikte kayıtta
- Cluster dışına hiçbir şey çıkmaz: SaaS yok, veri yüklemesi yok
Developer ve DevSecOps ekipleri
Tek Helm release. Admission hiçbir scan beklemez.
- Tek Helm release, kendi cluster'ınızda
- Kapıda Trivy taraması, cosign imzası ve attestation kontrolü
- Enforce etmeden önce what-if ve break-glass
- Falco olayları kayda, issue'ya ya da durdurulan pod'a dönüşür
Denetçiler
Sizin formatınızda kanıt, bizsiz doğrulanır.
- 13 framework için evidence package, her madde atıflı
- Cluster imzalar, tarayıcıda bize sormadan doğrulanır
- Her kaydın arkasında policy revizyonu ve karar
- 52 sayfalık el kitabı, gerçek kurulumdan ekran görüntüleriyle
Gate'in zaten bildiği kritik zafiyetler.
Attestkeep her altı saatte bir Trivy vulnerability database'ini çeker; tarayıcı cluster'ınızın içinde aynı database'i okur. Kritik olarak giren en yeni kayıtlar ve gate'in öğrendiği an.
Tüm kritik zafiyetleri görünBeş parça, tek Helm release.
Admission control
Tara, imzayı doğrula, kapıda karar ver. Admission önbellekteki kararı okur; bu yüzden taramayı hiç beklemez.
Admission controlKanıt paketleri
Bir framework'e eşlenmiş, cluster'ınızın imzaladığı ve herkesin doğrulayabileceği bir dönem raporu.
Kanıt paketleriFalco ile runtime
Falco görür, Attestkeep karar verir. Policy'leriniz Falco event'lerini kayda, bildirime, issue'ya ya da durdurulmuş bir pod'a dönüştürür.
Falco ile runtimeTedarik zinciri
İmzalar, SBOM'lar, build provenance ve üretici beyanları; hepsi image çalışmadan önce kontrol edilir.
Tedarik zinciriOperasyon
Bildirimler, issue tracker senkronu ve air-gapped cluster'lar: Attestkeep'in zaten kullandığınız araçlara ve ağlara nasıl uyduğu.
OperasyonTek zincir, cluster'ınızın içinde.
- TaraTrivy, cluster'ın içinde
- İmzayı doğrulacosign, anahtar/keyless
- Admission'da karar verpolicy'niz, önbellekteki sonuç üzerinde
- Kaydether allow ve deny, kayıt defterinde
- Raporu imzalakurulumun anahtarıyla
- Her yerde doğruladenetçiniz, bize gerek kalmadan
Bir şeyi reddedişini izleyin.
Attestkeep'i tek Helm release ile kurun, kapının karar verişini izleyin. Her güvenlik özelliği ücretsiz sürümde var.
Ekiplerin başladığı üç yer.
Henüz admission control yokImage çalışmadan önce denetlenmiyor.
Tek bir Helm release, operator'ü, console'unu ve veritabanını size ait bir namespace'e kurar. Image'lar Trivy ile taranır, imzaları cosign ile kontrol edilir; policy'nizin izin vermediğini admission reddeder. Community Edition ücretsizdir ve süresi dolmaz.
Admission controlDenetimden geçerkenDenetçi ekran görüntüsü değil, kanıt istiyor.
Bir framework ve bir dönem seçin. Attestkeep cluster'ın kendi admission ve tarama kayıtlarını o framework'ün maddelerine eşler ve raporu cluster'ın içinde imzalar. Denetçiniz imzayı kendi araçlarıyla, bize sormadan doğrular.
Kanıt paketleriÖlçekte çalışırkenBirçok ekip deploy ederken de tutan kurallar.
Policy, Argo CD ya da Flux ile yönetebileceğiniz bir Kubernetes kaynağıdır. Kabul edilen her riskin gerekçesi ve bitiş tarihi vardır, break-glass kayda geçer, yeni bir kritik bulgu GitHub, GitLab ya da Jira'da ticket açar. Girişler zaten kullandığınız identity provider üzerinden yapılır.
ÜrünBurada hiçbir şey sözümüze güvenmenizi istemiyor.
Üç iyi araç ve aralarındaki boşluk.
Her biri işin bir parçasını iyi yapar ve ücretsizdir. Hiçbiri tarayıcıyı, imza doğrulayıcıyı ve kararın kaydını tek yerde bir araya getirmez; denetçinin sorduğu kısım da tam olarak budur.