Из замечательной заметки "How It Works — Validating Admission Policy" вы узнаете:
1) Как реализованы данные политики в виде Kubernetes controller и admission plugin, пройдя по исходному коду Kubernetes API Server
2) Как и какую гибкость дают правила на Common Expression Language (CEL)
3) Какие Prometheus метрики доступны из коробки (policy violation count и latency)

Напомним, что с версии 1.30 механизм уже находиться в статусе stable. И он как минимум сделает все проприетарные решения класса policy engine бесполезными с их vendor lock. Ну а open source реализации уже адаптируются к этому быстро меняющемуся миру - об этом мы писали тут.

Если вы работали с Argo CD, то наверняка в курсе, что ролевая модель задается в configmap argo-rbac-cm. Для того чтобы задавать права пользователей нужно каждый раз её править, что в случае больших команд инженеров не всегда удобно.

Для такого случая есть Argo CD RBAC Operator, который позволяет через кастомные ресурсы управлять ролевой моделью Argo.

Более подробно о том как работает оператор можно почитать в этой статье. Сам оператор можно найти здесь.

yardstick - инструмент для сравнения результатов сканирования сканеров уязвимостей. Из коробки поддерживает grype, syft. И можно добавлять другие сканеры самостоятельно. Потом смотреть качество результатов сканирования как в рамках одного сканера и различных версий, так между разными сканерами.

В статье Building Docker Images Without Root or Privilege Escalation автор рассказывает о способе сборки docker образов в условиях строгих ограничений, без root прав и возможности повышения привилегий.

Для сборки используется виртуализация QEMU для инкапсуляции docker buildkit внутри microVM.

Несколько дней назад наши друзья достаточно сильно обновили свой фреймворк Jet Container Security Framework (JCSF).

Если вы не знаете, что это, для чего это и как с этим работать, то мы в феврале проводили совместный вебинар "Фреймворк безопасности контейнеров JCSF" (слайды, видео), где это все обсуждали и обсуждали как его можно улучшить и поправить. Здорово что многое из того было учтено в новом релизе!

На прошлой неделе прошла конференция fwd:cloudsec North America 2025.

Спикеры представили крутейшие доклады по тематике Cloud Security, затронув AWS, Azure и GCP. Однако, контейнеры и Kubernetes также не обошли стороной.

Тут хотим отметить доклад The Good, the Bad, and the Ugly: Hacking 3 CSPs with 1 Vulnerability от инженеров из WIZ. В докладе они рассказали про то, где им удалось проэксплуатировать ранее найденную ими и нашумевшую CVE-2024-0132 в NVIDIA Container Toolkit, позволяющую реализовать побег из контейнера.

Все видео с fwd:cloudsec North America 2025 можно найти в этом плейлисте.

P.S – для тех кто еще не видел, вот тут можно прочитать наш разбор CVE-2024-0132.

В поле нашего внимания попала статья "Securing Kubernetes Using Honeypots to Detect and Prevent Lateral Movement Attacks" от авторов проекта Beelzebub. Данный проект это фреймворк для создания высоко интерактивных honeypots с помощью low code с применением AI. С достаточно небольшими трудозатратами можно делать сервисы мимикрирующие под тот же ssh или даже под kube-apiserver.

С первого взгляда звучит как проект, который собрал в себя все хайпое (или bullshit bingo). Но идея мимикрирования под легитимные, хорошо известные сервисы силами AI явно интересная и имеет право на жизнь.