Почему в Kaspersky Container Security проверки пишутся на CEL, а не на Rego

Защита Kubernetes — одна из первостепенных задач для команд информационной безопасности, и подход к описанию проверок в этой среде имеет прямое влияние на то, насколько эффективно удаётся закрывать реальные риски. Об этом рассказали в Kaspersky, где весь продукт Container Security строится вокруг безопасности, а защита Runtime в K8s рассматривается как ключевое направление. Специалисты компании поделились опытом выбора языка описания проверок и объяснили, почему остановились на CEL, а не на Rego.

Подробности

Когда речь заходит о проверках безопасности в Kubernetes, на ум в первую очередь приходят готовые средства: Pod Security Admission, OPA Gatekeeper, Kyverno. Они хорошо закрывают базовый уровень — привилегированные контейнеры, отсутствие лимитов, запуск от root. Однако реальные требования ИБ редко умещаются в набор из десятка предустановленных проверок. Здесь кроется ловушка: как только политика перестаёт быть тривиальной, начинаются две разные проблемы, и обе они инженерные. Именно поэтому в Kaspersky Container Security отказались от использования Rego — языка, лежащего в основе OPA Gatekeeper, — и построили механизм проверок на CEL. Выбор в пользу CEL обусловлен тем, что сложные политики требуют от инженера не только понимания логики проверки, но и удобства её описания, сопровождения и отладки. Поскольку в компании всё строится вокруг безопасности, защита Kubernetes стала для команды первостепенной задачей, что и определило требования к инструменту описания правил.

Что делать

Специалистам, отвечающим за безопасность кластеров Kubernetes, стоит обратить внимание на следующие моменты: — Оценить, насколько текущий набор проверок покрывает реальные требования ИБ, а не только базовый уровень. Предустановленные политики Pod Security Admission, OPA Gatekeeper и Kyverno полезны, но их почти всегда недостаточно. — При выборе языка описания политик учитывать сложность поддержки нетривиальных правил: чем сложнее политика, тем выше цена ошибки и трудозатраты на сопровождение. — Рассмотреть CEL как альтернативу Rego для задач Runtime-защиты в K8s — особенно если основные трудности возникают именно на этапе описания и поддержки сложных проверок. — Изучить опыт Kaspersky Container Security: в компании отдельно подчёркивают, что защита Runtime в Kubernetes — это приоритет, и подход к инструментам описания проверок выбирался исходя из инженерных, а не маркетинговых соображений. Выбор языка описания проверок — не второстепенная деталь, а фактор, определяющий, насколько быстро и безопасно команда сможет реагировать на реальные угрозы в Kubernetes. Опыт Kaspersky Container Security показывает, что при усложнении политик инженерные критерии выходят на первый план, и CEL в этой роли оказывается предпочтительнее Rego.

Источник: Хабр — Информационная безопасность