Red Hat, StackRox’un Gerçekleştirdiği İkinci State of Kubernetes Security Raporunun Bulgularını Yayınladı
StackRox, Red Sınır tarafından satın alınmadan evvel 2021 yaz raporu için 500 DevOps, mühendis ve güvenlik profesyoneliyle anket düzenleyerek BT başkanlarının konteynerlerle ilgili en büyük tasalarını ve bulut yerlisi ortamları korumak için şirketlerin DevSecOps inisiyatiflerini nasıl kullandığını açığa çıkartı. Raporun tamamı bağlantıda yer alırken aşağıda da rapordan değerli bulgular sıralanıyor.
Her ne kadar kullanan şirket sayısı artsa da güvenlik, konteynerler ve Kubernetes ile ilgili en büyük kaygı olmaya devam ediyor. Anketi cevaplayanların yüzde 94’ü son 12 ayda Kubernetes ve konteyner ortamlarında bir güvenlik olayı yaşadığını belirtiyor. Yarısından fazlası ise (yüzde 55) güvenlikten dolayı Kubernetes uygulamalarını üretime göndermeyi geciktirdiğini paylaşıyor.
Data ihlallerinin ve hacklerin sebebi incelendiğinde ise insan yanlışı en çok aktarılan sebep oluyor. Cevaplayanların yaklaşık yüzde 60’ı, son 12 ayda yanlış bir yapılandırmadan dolayı sorun yaşadıklarını aktarıyor. Neredeyse üçte biri büyük bir zafiyet tespit ettiğini ve neredeyse üçte birlik bir diğer kesim de çalıştırma sırasında bir olaydan etkilendiklerini paylaşıyor. Yanlış yapılandırmalar ankete katılanların en yaygın ve en çok kaygı duyduğu alan olarak öne çıkıyor. Yüzde 47’lik bir kesim konteyner ve Kubernetes ortamlarındaki yanlış yapılandırmalardan kaynaklanan risklerle ilgili kaygıları lisana getiriyor. Ataklara dair endişelendiğini belirten kesim ise neredeyse dörtte birlik (yüzde 13) bir bölümü oluşturuyor.
Konfigürasyon idaresi de güvenlik uzmanları için kıymetli bir sorun oluşturuyor. Konteyner imajları için zafiyet taraması yapabilen birçok araç mevcut fakat yapılandırma idaresini hala kıymetlendirmek gerekiyor. Bu sıkıntıları ortadan kaldırmanın en âlâ yolu ise yapılandırma idaresini mümkün olduğunda otomatikleştirmekten geçiyor. Bu yüzden beşerler yerine güvenlik araçlarının tercih edilmesi, geliştiricilerin ve DevOps gruplarının konteyner ve Kubernetes güvenliğini yapılandırmasına yardımcı olan bariyerler sunuyor.
Anket sonuçları Kubernetes’in en büyük avantajı olan inovasyonu daha süratli yaparken güvenliği geliştirme ömür döngüsünün başlarında uygulamak için geliştirme, BT operasyonları ve güvenlik takımları ortasında iş birliğinin ehemmiyetini öne çıkarıyor.
DevOps, çeşitli misyonlar ortasında konteynerlerin ve Kubernetes’in güvenliğini sağlamaktan sorumlu olarak en çok belirtilen tek alan olarak öne çıkıyor. Güvenliğin ‘sola kayması’ gerektiğini lisana getiren yüzde 15’lik kesim, geliştiricileri Kubernetes güvenliğinin ana sahibi olarak görüyor ve anketi cevaplayanların sırf yüzde 18’i güvenlik takımlarını en sorumlu alan olarak tanımlıyor.
Bu dağılım, konteyner ve Kubernetes güvenliğinin gelişmesi için sağlıklı bir ortamın olması gerektiğini gösteriyor. Güvenlik çoklukla güvenliğin ve uyumluluk unsurlarının uygulandığı merkezi bir denetim noktası olarak bedellendiriliyor. Konteynerlerin ve Kubernetes’in çoğunlukla DevOps için kullanıldığı göz önünde bulundurulduğunda anketi cevaplayanların da DevOps grubunu bu teknolojilerin güvenliğinden sorumlu tutması olağan bir yaklaşım oluyor. Bu meseleleri ortadan kaldırmak için konteyner ve Kubernetes güvenlik araçlarının tüm şirkete ziyan verebilen siloları artırmak yerine geliştiriciler, DevOps ve güvenlik üzere farklı takımlar ortasında iş birliğini kolaylaştırması gerekiyor.
Araştırma DevSecOps’un yalnızca tanınan bir söz olmadığını gösteriyor. Güvenliğin sonradan eklemek yerine uygulama geliştirme döngüsünde kullanılabilmesini sağlayan süreçleri ve araçları kapsayan terim günümüzde şirketler tarafından uygulanıyor. Anket, cevaplayanların büyük çoğunluğunun DevSecOps inisiyatifinin bir çeşidini halihazırda kullandığını açığa çıkartıyor. DevOps’u güvenlikten başka olarak kullananlar, cevaplayanların sırf yüzde 26’sını oluşturuyor.
Kurumlar süratli bir formda konteynerleri ve Kubernetes’i kullanıyor lakin birebir vakitte güvenlik stratejilerine ve araçlarına gerekli yatırımları yapmazsa o vakit kritik uygulamalarının güvenliğini riske atıyor ve uygulamanın kullanıcılara ulaştırılma süreçlerini ertelemesi gerekebiliyor. Güvenliğe yetersiz yatırım yapmak ise anketi cevaplayanların bağlı olduğu şirketin konteyner stratejisine yönelik en çok bahsedilen kaygı olarak dikkat çekiyor.
Öte yandan en azından temel bir Kubernetes güvenlik stratejisine sahip olan cevaplayanların oranı ise yüzde 67. Rastgele bir güvenlik stratejisi bulunmayan cevaplayanların yüzde 7’lik bir kısmı oluşturması da daha çok öne çıkan bir bulgu. Olumlu bir yaklaşım gösteren bu datalar, hala güvenlik stratejilerinin olgunlaşması ve şirketlerin planlarına daha fazla yatırım yapması gerektiğini gösteriyor. Böylelikle şirketler konteyner güvenliği ve uyumluluk gereksinimlerine dair problemleri hakikat bir biçimde ortadan kaldırabilecek.
Kubernetes yerlisi güvenliği entegre ederek kurumlar değerli güvenlik avantajları için Kubernetes’teki güçlü bildirime dayalı datalardan ve mahallî kontrollerden yararlanabiliyor. Kubernetes’te bulunan bildirime dayalı bilgilerin tahlil edilmesi, yapılandırma idaresi, uyumluluk, segmentasyon ve Kubernetes’e has güvenlik açıklarına ait risk tabanlı öngörülerle daha düzgün güvenlik sağlayabiliyorlar. Uygulama geliştirme ve güvenlik için birebir altyapıyı ve kontrollerini kullanmak, öğrenme sürecinin kolaylaşmasına yardımcı oluyor ve daha süratli tahlil ve sorun giderme imkanı sunuyor.
Kaynak: Technopat