Videos

Praktische Erfahrungen bei der Implementierung von Sicherheit in kritischen Infrastrukturprojekten. In dem Vortrag geht es darum, wie Cloud-native Projekte in stark regulierten Umgebungen implementiert werden können oder nicht. Sie erhalten einige Einblicke in reale Projekte, bei denen Kubernetes verwendet wird, um die neuesten Anwendungen zur Steuerung kritischer Infrastrukturen in Deutschland und Europa auszuführen. Zu den Beispielen gehören Container-Hardening und wie man Entwickler davon überzeugen kann, minimale und konforme Container bereitzustellen, das Onboarding von Mitgliedern des Sicherheitsteams, um die SEC in DevOps zu integrieren, CI/CD-Pipelines mit Drittanbietern, Cloud-native Air-Gap-Architekturen und den Betrieb von Clustern mit höchster Verfügbarkeit.

Die Minimierung der Größe und der Angriffsvektoren sind nur zwei Seiten derselben Medaille. Als Belohnung erhalten Sie viel schnellere Bereitstellungspipelines, die automatisiertere Tests und eine höhere Skalierbarkeit ermöglichen. Eine Erhöhung der Geschwindigkeit um den Faktor 10 oder 20 ist keine Seltenheit. Manchmal schrumpft die Größe eines Containers um den Faktor 100.

Im Dezember 2021 richtete der Log4Shell-Bug fast überall große Schäden an, und das erste Mal erreichte der Explosionsradius eines Bugs den Mars und verursachte Schäden von mehreren 1000 Millionen. Wie können wir solche Ereignisse in Zukunft verhindern? Wie können wir den Betrag von 10 Mio. € auf die beachtliche Summe heben?

Das Kubernetes-Sicherheitsbewusstsein hat in den letzten Jahren zugenommen, was sehr wichtig ist — es gab immer Lücken. Was ist die größte Sicherheitslücke? Und wie kann man Kubernetes-Sicherheit erreichen?

Sicherheit ist ein wichtiger Bestandteil jeder Entwicklungspipeline, aber auf dem Weg zu dynamischem Cloud-DevOps gerät sie immer mehr ins Hintertreffen. Da Kubernetes besorgniserregende Sicherheitslücken aufweist, haben wir mit Thomas Fricke gesprochen, um mehr darüber zu erfahren, wie wir unser DevOps-Setup schützen können.

Tokens sind eine leistungsstarke Methode, um den Zugriff auf Rest-APIs zu kontrollieren. Sie zu verfolgen sollte schwierig sein. Leider gibt es die weit verbreitete Angewohnheit, Tokens herumliegen zu lassen, was sehr mächtige Angriffsvektoren ermöglicht. Ein Angriff zeigt, wie man einen OpenShift-Cluster hackt, der vollständig den anerkannten Standards von NIST und CIS entspricht. Durch das Hijacken eines Containers erhalten Sie die volle Kontrolle über den Cluster, einschließlich des Hostzugriffs. Wenn der Cluster in der Cloud ausgeführt wird, kann er für weitere Angriffe verwendet werden, da der Host über ein weiteres Token für den Cloud-API-Server verfügt. Mit diesem Token können beliebige Konten und Cloud-Ressourcen gesteuert werden, einschließlich virtueller Maschinen, Speicher und abgeleiteter Konten.