Үндсэн агуулга руу алгасах

Cookie

Сайтаа сайжруулж, танд тохирох хямдрал, санал харуулахад тусална. Дэлгэрэнгүй

BD Systems AsiaАлбан ёсны түншBitdefender Country Partner (шинэ цонхонд)
Bitdefender

KSPM-ийн анхдагч хасалтууд (Default exclusions)

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.10

Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.

KSPM шалгалтаас анхдагчаар хасдаг Kubernetes нөөцүүдийг доор жагсаав. Тайлбар хэсэг нь хасалт бүрийн шалтгааныг тайлбарлана.

Тэмдэглэл: Мөр бүр дараах хэлбэртэй: Нөөцийн нэр — Нөөцийн төрөл; Нөөцийн namespace; Хасагдах илрүүлэлт (Excluded findings). Тайлбар нь өөрийн дор жагсаасан, тайлбаргүй мөрүүдийг ч хамарна.

Тайлбар (Details): Энэ хасалт Azure Kubernetes Service (AKS) дээрх kube-system namespace-ийн үндсэн DaemonSet-үүдэд хамаарна. Үүнд CSI драйверууд, kube-proxy, omsagent зэрэг хяналтын агентууд орно. Эдгээр нь платформын хадгалалт, сүлжээ, telemetry-д зайлшгүй шаардлагатай.

  • `csi-azuredisk-node` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `csi-azurefile-node` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `csi-azurefile-node-win` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `kube-proxy` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `omsagent` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `omsagent-win` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт AKS дээрх kube-system namespace-ийн системийн чухал Deployment, DaemonSet-үүдэд хамаарна. Тухайлбал coredns, metrics-server, үүлэн платформын тусгай агентууд. Эдгээр нь DNS шийдвэрлэлт, метрик цуглуулалт, node удирдлага зэрэг кластерын үндсэн үйл ажиллагаанд зайлшгүй шаардлагатай.

  • `coredns` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `coredns-autoscaler` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `konnectivity-agent` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `metrics-server` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `csi-azuredisk-node-win` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `azure-ip-masq-agent` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `cloud-node-manager` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `cloud-node-manager-windows` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `omsagent-rs` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт AKS дээрх kube-system namespace-ийн динамикаар нэрлэгдсэн системийн Pod-уудад хамаарна. Эдгээр нь DNS, хадгалалтын драйвер, telemetry агент, сүлжээний үйлчилгээ зэрэг үндсэн бүрэлдэхүүнийг хамарна. Pod-уудыг платформ удирдаж, ихэвчлэн автоматаар үүссэн нэр ашигладаг. Хасалт нь байрлалын шалгалт (posture check) кластерын тогтвортой, аюулгүй ажиллагаанд шаардлагатай дэд бүтцийн ачаалалд саад болохгүй байхыг хангана.

  • `azure-ip-masq-agent-[A-Za-z0-9]+` — Pod; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `cloud-node-manager-[A-Za-z0-9]+` — Pod; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `coredns-autoscaler--[A-Za-z0-9]+-[A-Za-z0-9]+` — Pod; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `csi-azuredisk-node-[A-Za-z0-9]+` — Pod; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `csi-azurefile-node-[A-Za-z0-9]+` — Pod; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `konnectivity-agent-[A-Za-z0-9]+-[A-Za-z0-9]+` — Pod; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `omsagent-[A-Za-z0-9]+` — Pod; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `omsagent-rs-[A-Za-z0-9]+-[A-Za-z0-9]+` — Pod; kube-system; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт AKS дээрх kube-system namespace-д DNS, метрик, telemetry зэрэг чухал үйлчилгээг дэмжих зорилгоор автоматаар үүсгэгддэг ReplicaSet-үүдэд хамаарна. Эдгээр системээс удирддаг бүрэлдэхүүн ихэвчлэн динамик нэртэй бөгөөд платформын үндсэн функцтэй нягт холбоотой.

  • `coredns-autoscaler-[A-Za-z0-9]+` — ReplicaSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `coredns-[A-Za-z0-9]+` — ReplicaSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `konnectivity-agent-[A-Za-z0-9]+` — ReplicaSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `metrics-server-[A-Za-z0-9]+` — ReplicaSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `omsagent-rs-[A-Za-z0-9]+` — ReplicaSet; kube-system; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт AKS-ийн үндсэн функц, удирдлагын хавтгайн (control plane) үйл ажиллагаанд зайлшгүй шаардлагатай төрөл бүрийн системийн service account, ConfigMap, webhook тохиргоо, identity principal-уудыг хамарна. Эдгээрийг платформ удирддаг эсвэл найдвартай холболт, node бэлтгэх, кластерын автоматжуулалтад шаарддаг.

  • `azure-cloud-provider` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `cloud-node-manager` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `coredns-autoscaler` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `csi-azuredisk-node-sa` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `csi-azurefile-node-sa` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `omsagent` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `kube-root-ca.crt` — ConfigMap; default; Хасагдах илрүүлэлт: Бүгд
  • `kube-root-ca.crt` — ConfigMap; kube-node-lease; Хасагдах илрүүлэлт: Бүгд
  • `kube-root-ca.crt` — ConfigMap; kube-public; Хасагдах илрүүлэлт: Бүгд
  • `azure-ip-masq-agent-config-reconciled` — ConfigMap; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `cluster-autoscaler-status` — ConfigMap; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `container-azm-ms-aks-k8scluster` — ConfigMap; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `coredns` — ConfigMap; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `coredns-autoscaler` — ConfigMap; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `coredns-custom` — ConfigMap; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `extension-apiserver-authentication` — ConfigMap; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `kube-root-ca.crt` — ConfigMap; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `omsagent-rs-config` — ConfigMap; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `overlay-upgrade-data` — ConfigMap; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `aks-webhook-admission-controller` — MutatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `aks-node-mutating-webhook` — MutatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `aks-node-validating-webhook` — ValidatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:nodes` — Group; N/A; Хасагдах илрүүлэлт: Бүгд
  • `clusterAdmin` — User; N/A; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт kube-system namespace-ийн kube-dns, metrics-server зэрэг системийн чухал үйлчилгээнд (Service) хамаарна. Эдгээр нь кластер доторх DNS шийдвэрлэлт, нөөцийн хяналт зэрэг үндсэн функцийг гүйцэтгэнэ.

  • `kube-dns` — Service; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `metrics-server` — Service; kube-system; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт default namespace-ийн гол нөөцүүдэд хамаарна. Үүнд default service account, default namespace объект, Kubescape-ийн ашигладаг ConfigMap орно. Эдгээр нь анхны ачаалал, туршилт, системийн анхдагч утгад ихэвчлэн ашиглагддаг суурь элементүүд юм. Хасалт нь ихэнх кластерт байдаг үндсэн болон туслах нөөцөд шаардлагагүй сэрэмжлүүлэг гарахаас сэргийлнэ.

  • `kubescape` — ConfigMap; default; Хасагдах илрүүлэлт: Бүгд
  • `default` — Namespace; N/A; Хасагдах илрүүлэлт: Бүгд
  • `default` — Service account; default; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт Amazon Elastic Kubernetes Service (EKS) кластер дахь анхдагч болон системээс удирддаг өргөн хүрээний нөөцөд хамаарна. Үүнд сүлжээ (aws-node), хадгалалт (ebs-csi), хяналт (metrics-server), кластерын удирдлагад зайлшгүй шаардлагатай Pod, Deployment, DaemonSet, service account, identity холбоосууд орно. Эдгээрийг AWS удирддаг бөгөөд EKS кластерын үндсийг бүрдүүлнэ. Хасалт нь найдвартай, платформд нэгдсэн үйлчилгээнд шаардлагагүй сэрэмжлүүлэг үүсгэхгүй байхыг хангана.

  • `aws-node-[A-Za-z0-9]+` — Pod; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `kube-proxy-[A-Za-z0-9]+` — Pod; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `metrics-server-[A-Za-z0-9]+-[A-Za-z0-9]+` — Pod; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `aws-node` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `eventrouter` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `ebs-csi-controller` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `ebs-csi-node` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `ebs-csi-node-windows` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `metrics-server` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `coredns-[A-Za-z0-9]+` — ReplicaSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `metrics-server-[A-Za-z0-9]+` — ReplicaSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `kube-dns` — Service; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `aws-cloud-provider` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `aws-node` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `eks-admin` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `eks-vpc-resource-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `metrics-server` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `tagging-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `vpc-resource-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `eventrouter` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `ebs-csi-controller-sa` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `ebs-csi-node-sa` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `eks:fargate-manager` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `eks:addon-manager` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `eks:certificate-controller` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `eks:node-manager` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:masters` — Group; N/A; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт Google Kubernetes Engine (GKE) дээрх kube-node-lease namespace-ийн default service account-д хамаарна. Kubernetes энэ namespace-ийг node-ийн heartbeat lease удирдахад ашигладаг. Энэ нөөцийг хассанаар node-ийн эрүүл мэнд, кластерын тогтвортой байдлыг дэмждэг, системээс удирддаг identity-д шаардлагагүй сэрэмжлүүлэг гарахаас сэргийлнэ.

  • `default` — Service account; kube-node-lease; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт GKE дээрх kube-public namespace-ийн default service account-д хамаарна. Энэ namespace нь олон нийтэд нээлттэй кластерын мэдээлэлд зориулагдсан. Мэдрэмтгий үйлдэлд зориулагдаагүй, системээс удирддаг анхдагч identity-д шаардлагагүй сэрэмжлүүлэг гарахаас сэргийлнэ.

  • `default` — Service account; kube-public; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт GKE-ийн kube-system namespace доторх системээс удирддаг өргөн хүрээний нөөцийг хамарна. Үүнд Pod, DaemonSet, Deployment, Service, CronJob орно. Эдгээр нь кластер доторх сүлжээ, DNS, лог, GPU дэмжлэг, автомат масштабчлал, дотоод холболтод чухал. Тэдгээрийг хассанаар байрлалын шалгалт (posture check) GKE-ийн анхдагч үйл ажиллагаанд саад болохгүй, кластер найдвартай, аюулгүй ажиллана. Эдгээрийг платформ бэлтгэж, засварладаг.

  • `coredns-[A-Za-z0-9]+-[A-Za-z0-9]+` — Pod; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `kube-proxy-[A-Za-z0-9-]+` — Pod; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `etcd-.** — Pod; kube-system`; Хасагдах илрүүлэлт: Бүгд
  • `metadata-proxy-v[0-9.]+` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `node-local-dns` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `gke-metrics-agent.** — DaemonSet; kube-system`; Хасагдах илрүүлэлт: Бүгд
  • `pdcsi-node-windows` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `anetd` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `netd` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `fluentbit-gke-big` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `fluentbit-gke-small` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `fluentbit-gke-max` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `fluentbit-gke.** — DaemonSet; kube-system`; Хасагдах илрүүлэлт: Бүгд
  • `nccl-fastsocket-installer` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `filestore-node` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `pdcsi-node` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `ip-masq-agent` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `anetd-win` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `gke-metadata-server` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `gke-metrics-agent-windows` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `kube-proxy` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `nvidia-gpu-device-plugin` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `nvidia-gpu-device-plugin-large` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `nvidia-gpu-device-plugin-medium` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `image-package-extractor` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `image-package-extractor-cleanup` — CronJob; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `nvidia-gpu-device-plugin-small` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `metrics-server` — Service; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `kube-dns` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `egress-nat-controller` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `event-exporter-gke` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `antrea-controller` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `antrea-controller-horizontal-autoscaler` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `kube-dns-autoscaler` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `metrics-server-v[0-9.]+` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `konnectivity-agent-autoscaler` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `fluentd-elasticsearch` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `konnectivity-agent` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `l7-default-backend` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт kubescape namespace дахь ks-sa service account-д хамаарна. Kubescape үүнийг аюулгүй байдлын байрлалын шалгалт хийх, кластерын тохиргооны өгөгдөл цуглуулах, нийцлийн үр дүн илгээхэд ашигладаг.

  • `ks-sa` — Service account; kubescape; Хасагдах илрүүлэлт: Secret access permissions (v1); Excessive delete permissions (v1)

Тайлбар (Details): Энэ хасалт kubescape namespace дахь default service account-д хамаарна. Kubescape-ийн бүрэлдэхүүн үүнийг эхлүүлэх болон туслах үйлдэлд ашиглаж болно. Энэ service account-ийг зөвхөн сэрэмжлүүлгийн горимд (alert-only) ажиллуулснаар namespace-тэй холбоотой далд ажил, анхдагч үйлдэл байрлалын зөрчил үүсгэхгүй. Энэ нь харагдах байдлыг алдагдуулахгүйгээр Kubescape-ийн системийг тасралтгүй ажиллуулахыг дэмжинэ.

  • `default` — Service account; kubescape; Хасагдах илрүүлэлт: Automount of default service account token; Automount of service account token; Namespace without custom service account

Тайлбар (Details): Энэ хасалт kubescape namespace дахь node-agent DaemonSet-ийг хязгаарлалтгүй сүлжээний хандалт, өндөр эрхтэйгээр ажиллуулах боломж олгоно. Энэ нь node бүрээс ажиллах үеийн болон хост түвшний өгөгдөл цуглуулдаг үндсэн бүрэлдэхүүн тул өргөн эрх, холболт шаардаж, гүнзгий шалгалт хийж үр дүнг илгээнэ.

  • `node-agent` — DaemonSet; kubescape; Хасагдах илрүүлэлт: Use of hostPath mounts; Use of writable hostPath volumes; Automount of service account token; Configured liveness probe; Configured readiness probe; Use of Docker socket in containers; Immutable container filesystem; Ingress and egress policy enforcement; Insecure capabilities; Linux hardening; Non-root containers; Privilege escalation control; Privilege escalation

Тайлбар (Details): Энэ хасалт kubescape, operator, gateway, kubevuln, kollector зэрэг Kubescape-ийн гол бүрэлдэхүүнийг хязгаарлалтгүй сүлжээний урсгалтай ажиллуулах боломж олгоно. Эдгээр нь өгөгдөл цуглуулах, эмзэг байдлын шалгалт, синхрончлол, гадаад үйлчилгээтэй холбогдох зэрэг ажилд дотогш болон гадагш холболт шаарддаг. Хасалт нь сүлжээний урсгалын хязгаарлалт тэдний ажиллагаанд саад болохгүй байхыг хангана.

  • `kubescape` — Deployment; kubescape; Хасагдах илрүүлэлт: Ingress and egress policy enforcement; Non-root containers
  • `operator` — Deployment; kubescape; Хасагдах илрүүлэлт: Ingress and egress policy enforcement; Non-root containers
  • `gateway` — Deployment; kubescape; Хасагдах илрүүлэлт: Ingress and egress policy enforcement; Non-root containers
  • `kubevuln` — Deployment; kubescape; Хасагдах илрүүлэлт: Ingress and egress policy enforcement; Non-root containers
  • `kollector` — StatefulSet; kubescape; Хасагдах илрүүлэлт: Ingress and egress policy enforcement; Non-root containers

Тайлбар (Details): Энэ хасалт kubescape, operator, gateway, synchronizer, kubevuln, otel-collector Deployment-үүд болон kollector StatefulSet, node-agent DaemonSet зэрэг Kubescape-ийн гол бүрэлдэхүүнд хамаарна. Хасалт нь эдгээрийг аюулгүй байдлын контекстийн (security context) байрлалын хяналтаар хориглуулахгүйгээр ажиллуулна. Эдгээр ачаалал шалгалт, telemetry, синхрончлол, хадгалалт зэрэг чухал ажил гүйцэтгэхдээ өндөр эрх эсвэл стандарт бус тохиргоо шаардаж болно.

  • `kubescape` — Deployment; kubescape; Хасагдах илрүүлэлт: Configured liveness probe; Configured readiness probe; NET_RAW capability drop configuration; NetworkPolicy labels; Host PID/IPC privileges; Immutable container filesystem; Ingress and egress policy enforcement; Label usage for resources; Linux hardening; Non-root containers; Privilege escalation control; Privilege escalation; Secrets in environment variables; fsGroup value; fsGroup change policy value; procMount default; seccompProfile; seccompProfile RuntimeDefault; SELinux options configuration; Supplemental groups configuration; Sysctl parameter configuration
  • `operator` — Deployment; kubescape; Хасагдах илрүүлэлт: Configured liveness probe; Configured readiness probe; NET_RAW capability drop configuration; NetworkPolicy labels; Host PID/IPC privileges; Immutable container filesystem; Ingress and egress policy enforcement; Label usage for resources; Linux hardening; Non-root containers; Privilege escalation control; Privilege escalation; Secrets in environment variables; fsGroup value; fsGroup change policy value; procMount default; seccompProfile; seccompProfile RuntimeDefault; SELinux options configuration; Supplemental groups configuration; Sysctl parameter configuration
  • `gateway` — Deployment; kubescape; Хасагдах илрүүлэлт: Configured liveness probe; Configured readiness probe; NET_RAW capability drop configuration; NetworkPolicy labels; Host PID/IPC privileges; Immutable container filesystem; Ingress and egress policy enforcement; Label usage for resources; Linux hardening; Non-root containers; Privilege escalation control; Privilege escalation; Secrets in environment variables; fsGroup value; fsGroup change policy value; procMount default; seccompProfile; seccompProfile RuntimeDefault; SELinux options configuration; Supplemental groups configuration; Sysctl parameter configuration
  • `synchronizer` — Deployment; kubescape; Хасагдах илрүүлэлт: Configured liveness probe; Configured readiness probe; NET_RAW capability drop configuration; NetworkPolicy labels; Host PID/IPC privileges; Immutable container filesystem; Ingress and egress policy enforcement; Label usage for resources; Linux hardening; Non-root containers; Privilege escalation control; Privilege escalation; Secrets in environment variables; fsGroup value; fsGroup change policy value; procMount default; seccompProfile; seccompProfile RuntimeDefault; SELinux options configuration; Supplemental groups configuration; Sysctl parameter configuration
  • `kubevuln` — Deployment; kubescape; Хасагдах илрүүлэлт: Configured liveness probe; Configured readiness probe; NET_RAW capability drop configuration; NetworkPolicy labels; Host PID/IPC privileges; Immutable container filesystem; Ingress and egress policy enforcement; Label usage for resources; Linux hardening; Non-root containers; Privilege escalation control; Privilege escalation; Secrets in environment variables; fsGroup value; fsGroup change policy value; procMount default; seccompProfile; seccompProfile RuntimeDefault; SELinux options configuration; Supplemental groups configuration; Sysctl parameter configuration
  • `kollector` — StatefulSet; kubescape; Хасагдах илрүүлэлт: Configured liveness probe; Configured readiness probe; NET_RAW capability drop configuration; NetworkPolicy labels; Host PID/IPC privileges; Immutable container filesystem; Ingress and egress policy enforcement; Label usage for resources; Linux hardening; Non-root containers; Privilege escalation control; Privilege escalation; Secrets in environment variables; fsGroup value; fsGroup change policy value; procMount default; seccompProfile; seccompProfile RuntimeDefault; SELinux options configuration; Supplemental groups configuration; Sysctl parameter configuration
  • `storage` — Deployment; kubescape; Хасагдах илрүүлэлт: Configured liveness probe; Configured readiness probe; NET_RAW capability drop configuration; NetworkPolicy labels; Host PID/IPC privileges; Immutable container filesystem; Ingress and egress policy enforcement; Label usage for resources; Linux hardening; Non-root containers; Privilege escalation control; Privilege escalation; Secrets in environment variables; fsGroup value; fsGroup change policy value; procMount default; seccompProfile; seccompProfile RuntimeDefault; SELinux options configuration; Supplemental groups configuration; Sysctl parameter configuration
  • `otel-collector` — Deployment; kubescape; Хасагдах илрүүлэлт: Configured liveness probe; Configured readiness probe; NET_RAW capability drop configuration; NetworkPolicy labels; Host PID/IPC privileges; Immutable container filesystem; Ingress and egress policy enforcement; Label usage for resources; Linux hardening; Non-root containers; Privilege escalation control; Privilege escalation; Secrets in environment variables; fsGroup value; fsGroup change policy value; procMount default; seccompProfile; seccompProfile RuntimeDefault; SELinux options configuration; Supplemental groups configuration; Sysctl parameter configuration
  • `node-agent` — DaemonSet; kubescape; Хасагдах илрүүлэлт: Configured liveness probe; Configured readiness probe; NET_RAW capability drop configuration; NetworkPolicy labels; Host PID/IPC privileges; Immutable container filesystem; Ingress and egress policy enforcement; Label usage for resources; Linux hardening; Non-root containers; Privilege escalation control; Privilege escalation; Secrets in environment variables; fsGroup value; fsGroup change policy value; procMount default; seccompProfile; seccompProfile RuntimeDefault; SELinux options configuration; Supplemental groups configuration; Sysctl parameter configuration

Тайлбар (Details): Энэ хасалт kubescape болон kubescape-host-scanner namespace дахь host-scanner DaemonSet-ийг байрлалын хяналтаар хориглуулахгүйгээр ажиллуулна. Host scanner нь node түвшний тохиргоо, эмзэг байдлыг шалгахын тулд өндөр эрхтэй хандалт шаарддаг. Хасалт нь Kubescape-ийн гүнзгий хост түвшний шалгалт зорьсон ёсоор ажиллахыг хангана.

  • `host-scanner` — DaemonSet; kubescape-host-scanner; Хасагдах илрүүлэлт: Бүгд
  • `host-scanner` — DaemonSet; kubescape; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт kubescape namespace дахь otel-collector deployment-д хамаарна. Трейс, метрик, логийг цуглуулж экспортлодог ажиглалтын (observability) чухал бүрэлдэхүүн OpenTelemetry (OTel) ажиллагаатай байхыг хангана. Энэ нь системийн ажиллагааны харагдах байдлыг хадгалахад зайлшгүй шаардлагатай.

  • `otel-collector` — Deployment; kubescape; Хасагдах илрүүлэлт: Configured liveness probe; Configured readiness probe; Immutable container filesystem; Ingress and egress policy enforcement; Linux hardening

Тайлбар (Details): Энэ хасалт kubescape-prometheus namespace дахь kubescape deployment-ийг гадагш хязгаарлалтгүй сүлжээний хандалттай ажиллуулах боломж олгоно. Энэ deployment нь Prometheus интеграцийг зохицуулдаг тул метрик цуглуулах эсвэл telemetry-н зорилгоор гадаад холболт хийх шаардлагатай байж болно. Хасалт нь сүлжээний хязгаарлалтаас үл хамааран хяналтын боломж ажиллахыг хангана.

  • `kubescape` — Deployment; kubescape-prometheus; Хасагдах илрүүлэлт: Ingress and egress policy enforcement

Тайлбар (Details): Энэ хасалт kubescape-prometheus namespace дахь kubescape deployment-ийг бага хязгаарлалттай аюулгүй байдлын контекстоор ажиллуулах боломж олгоно. Энэ deployment нь Prometheus интеграцийг дэмждэг тул хатуу хамгаалалтын стандарттай бүрэн нийцэхгүй эрх эсвэл тохиргоо шаардаж болно.

  • `kubescape` — Deployment; kubescape-prometheus; Хасагдах илрүүлэлт: NET_RAW capability drop configuration; Immutable container filesystem; Linux hardening; Non-root containers; Privilege escalation control; Privilege escalation; fsGroup value; fsGroup change policy value; procMount default; seccompProfile; seccompProfile RuntimeDefault; SELinux options configuration; Supplemental groups configuration; Sysctl parameter configuration

Тайлбар (Details): Энэ хасалт kubescape namespace дахь kubescape-sa service account-ийг өргөтгөсөн эсвэл өргөн эрхтэйгээр ажиллуулах боломж олгоно. Энэ service account-ийг кластерын нөөцөд хандаж шалгалт, шинжилгээ хийх шаардлагатай Kubescape-ийн бүрэлдэхүүн ашигладаг.

  • `kubescape-sa` — Service account; kubescape; Хасагдах илрүүлэлт: Secret access permissions (v1); Excessive delete permissions (v1)

Тайлбар (Details): Энэ хасалт node-agent, storage, synchronizer, kubevuln зэрэг Kubescape-ийн бүрэлдэхүүнүүдийн ашигладаг хэд хэдэн service account-ийг илүү өргөн хандалт, уян хатан тохиргоотойгоор ажиллуулах боломж олгоно. Эдгээр service account нь кластер даяар шалгалт, өгөгдөл цуглуулалт, хадгалалт, зохицуулалтын ажлыг дэмждэг. Хасалт нь тэдгээрийн үүргийг identity эсвэл хандалтын хатуу хязгаарлалт саатуулахгүй байхыг хангаж, Kubescape-д иж бүрэн аюулгүй байдлын үнэлгээ хийх боломж олгоно.

  • `ks-sa` — Service account; kubescape; Хасагдах илрүүлэлт: Access control for container service accounts (v1); Automount of service account token; Non-root containers; Secret access permissions (v1); Secrets in environment variables
  • `storage` — Service account; kubescape; Хасагдах илрүүлэлт: Access control for container service accounts (v1); Automount of service account token; Non-root containers; Secret access permissions (v1); Secrets in environment variables
  • `kubescape-sa` — Service account; kubescape; Хасагдах илрүүлэлт: Access control for container service accounts (v1); Automount of service account token; Non-root containers; Secret access permissions (v1); Secrets in environment variables
  • `node-agent` — Service account; kubescape; Хасагдах илрүүлэлт: Access control for container service accounts (v1); Automount of service account token; Non-root containers; Secret access permissions (v1); Secrets in environment variables
  • `kubevuln` — Service account; kubescape; Хасагдах илрүүлэлт: Access control for container service accounts (v1); Automount of service account token; Non-root containers; Secret access permissions (v1); Secrets in environment variables
  • `storage-sa` — Service account; kubescape; Хасагдах илрүүлэлт: Access control for container service accounts (v1); Automount of service account token; Non-root containers; Secret access permissions (v1); Secrets in environment variables
  • `synchronizer` — Service account; kubescape; Хасагдах илрүүлэлт: Access control for container service accounts (v1); Automount of service account token; Non-root containers; Secret access permissions (v1); Secrets in environment variables
  • `node-agent-service-account` — Service account; kubescape; Хасагдах илрүүлэлт: Access control for container service accounts (v1); Automount of service account token; Non-root containers; Secret access permissions (v1); Secrets in environment variables

Тайлбар (Details): Энэ хасалт kube-system namespace дахь Kubernetes-ийн анхдагч controller service account-ийн өргөн багцад хамаарна. Эдгээр service account-ийг ажлын ачаалал, нөөц, кластерын төлөвийг удирддаг үндсэн controller болон системийн процесс ашигладаг. Тухайлбал deployment controller, node manager, DNS, garbage collection, volume provisioning.

  • `konnectivity-agent-cpha` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `metrics-server` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `endpointslicemirroring-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `replicaset-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `endpointslice-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `service-account-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `namespace-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `clusterrole-aggregation-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `generic-garbage-collector` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `certificate-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `daemon-set-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `cloud-provider` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `ephemeral-volume-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `root-ca-cert-publisher` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `bootstrap-signer` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `expand-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `disruption-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `ttl-after-finished-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `job-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `pv-protection-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `persistent-volume-binder` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `pvc-protection-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `statefulset-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `deployment-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `node-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `cronjob-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `resourcequota-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `endpoint-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `pod-garbage-collector` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `ttl-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `token-cleaner` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `kube-dns` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `attachdetach-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `kube-proxy` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `konnectivity-agent` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `replication-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `default` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `service-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `kube-dns-autoscaler` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `netd` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `metadata-proxy` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `antrea-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `cilium` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `node-local-dns` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `gke-metrics-agent` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `egress-nat-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `antrea-agent` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `event-exporter-sa` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `antrea-cpha` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `fluentbit-gke` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `pdcsi-node-sa` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `ip-masq-agent` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `filestorecsi-node-sa` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `gke-metadata-server` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `coredns` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `horizontal-pod-autoscaler` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `storage-provisioner` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт kube-system namespace дахь Kubernetes-ийн дотоод хэрэглэгчдэд хамаарна. Тухайлбал system:vpa-recommender, system:anet-operator. Эдгээр хэрэглэгч нь нөөцийн зөвлөмж, сүлжээний удирдлагыг хариуцдаг автомат системийн бүрэлдэхүүнтэй холбоотой.

  • `system:vpa-recommender` — User; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `system:anet-operator` — User; kube-system; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт Minikube орчин дахь kube-node-lease namespace-д хамаарна. Kubernetes энэ namespace-ийг node-ийн heartbeat хянах, node-ийн бэлэн байдлыг хангахад ашигладаг.

  • `kube-node-lease` — Namespace; N/A; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт Minikube орчин дахь kube-public namespace-д хамаарна. Энэ namespace нь хэрэглэгчид болон бүрэлдэхүүн хооронд хуваалцдаг, олон нийтэд нээлттэй, зөвхөн унших кластерын мэдээлэлд зориулагдсан.

  • `kube-public` — Namespace; N/A; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт Minikube орчин дахь kube-system namespace-ийн системээс удирддаг нөөцөд хамаарна. Үүнд DNS, scheduler, controller manager, proxy, storage provisioner, GPU эсвэл TPU plugin зэрэг үндсэн бүрэлдэхүүн орно. Эдгээр нь Minikube-ийн локал кластерын ажиллагаанд чухал бөгөөд автоматаар бэлтгэгддэг.

  • `kube-proxy-.** — Pod; kube-system`; Хасагдах илрүүлэлт: Бүгд
  • `coredns` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `sealed-secrets-controller` — Deployment; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `tpu-device-plugin` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `runsc-metric-server` — DaemonSet; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `nvidia-gpu-.** — DaemonSet; kube-system`; Хасагдах илрүүлэлт: Бүгд
  • `kube-system` — Namespace; N/A; Хасагдах илрүүлэлт: Бүгд
  • `storage-provisioner` — Pod; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `kube-scheduler-.** — Pod; kube-system`; Хасагдах илрүүлэлт: Бүгд
  • `kube-controller-manager-.** — Pod; kube-system`; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт Kubescape-ийн өөрийн бүрэлдэхүүн, үйлчилгээг байршуулдаг kubescape namespace-д хамаарна.

  • `kubescape` — Namespace; N/A; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт kubescape namespace дахь otel-collector deployment-д хамаарна. OpenTelemetry Collector нь метрик, лог, трейс зэрэг ажиглалтын өгөгдлийг цуглуулж экспортлох үүрэгтэй.

  • `otel-collector` — Deployment; kubescape; Хасагдах илрүүлэлт: Automount of service account token

Тайлбар (Details): Энэ хасалт kube-system namespace дахь kube-apiserver Pod-д хамаарна. Кластерын үйл ажиллагааг удирдаж зохицуулахын тулд API серверт шаардлагатай тусгай тохиргоо, өндөр эрхийг харгалзана. Эдгээр тохиргоо нь хатуу бодлогын шалгалттай нийцэхгүй байж болох ч API серверийн зорьсон үйл ажиллагаанд зайлшгүй шаардлагатай.

  • `kube-apiserver-.** — Pod; kube-system`; Хасагдах илрүүлэлт: Use of hostPath mounts; Use of hostPath mounts exposing credentials; Automount of service account token; Host network access; Immutable container filesystem; Ingress and egress policy enforcement; Kubernetes common labels usage; Non-root containers; Resources CPU limits; Resources memory limits; Privilege escalation control

Тайлбар (Details): Энэ хасалт kubescape namespace дахь эмзэг байдал болон registry шалгалтыг төлөвлөдөг хэд хэдэн CronJob-д хамаарна. Эдгээр ажил тусгай тохиргоо, эрх, ажиллах горим шаарддаг.

  • `kubevuln-schedule-.** — CronJob; kubescape`; Хасагдах илрүүлэлт: Configured liveness probe; Configured readiness probe; NET_RAW capability drop configuration; NetworkPolicy labels; Immutable container filesystem; Ingress and egress policy enforcement; Kubernetes common labels usage; Label usage for resources; Linux hardening; Non-root containers; Privilege escalation control; CronJobs usage; Privilege escalation; fsGroup value; fsGroup change policy value; procMount default; seccompProfile; seccompProfile RuntimeDefault; SELinux options configuration; Supplemental groups configuration; Sysctl parameter configuration
  • `kubescape-registry-scan-.** — CronJob; kubescape`; Хасагдах илрүүлэлт: Configured liveness probe; Configured readiness probe; NET_RAW capability drop configuration; NetworkPolicy labels; Immutable container filesystem; Ingress and egress policy enforcement; Kubernetes common labels usage; Label usage for resources; Linux hardening; Non-root containers; Privilege escalation control; CronJobs usage; Privilege escalation; fsGroup value; fsGroup change policy value; procMount default; seccompProfile; seccompProfile RuntimeDefault; SELinux options configuration; Supplemental groups configuration; Sysctl parameter configuration
  • `kubevuln-scheduler` — CronJob; kubescape; Хасагдах илрүүлэлт: Configured liveness probe; Configured readiness probe; NET_RAW capability drop configuration; NetworkPolicy labels; Immutable container filesystem; Ingress and egress policy enforcement; Kubernetes common labels usage; Label usage for resources; Linux hardening; Non-root containers; Privilege escalation control; CronJobs usage; Privilege escalation; fsGroup value; fsGroup change policy value; procMount default; seccompProfile; seccompProfile RuntimeDefault; SELinux options configuration; Supplemental groups configuration; Sysctl parameter configuration
  • `kubescape-scheduler` — CronJob; kubescape; Хасагдах илрүүлэлт: Configured liveness probe; Configured readiness probe; NET_RAW capability drop configuration; NetworkPolicy labels; Immutable container filesystem; Ingress and egress policy enforcement; Kubernetes common labels usage; Label usage for resources; Linux hardening; Non-root containers; Privilege escalation control; CronJobs usage; Privilege escalation; fsGroup value; fsGroup change policy value; procMount default; seccompProfile; seccompProfile RuntimeDefault; SELinux options configuration; Supplemental groups configuration; Sysctl parameter configuration

Тайлбар (Details): Энэ хасалт kube-system, gmp-system, gmp-public namespace дахь төрөл бүрийн service account болон системийн бүрэлдэхүүнд хамаарна. Эдгээр account, ачаалал нь Kubernetes-ийн үндсэн үйл ажиллагаа, чиглүүлэлт, метрик цуглуулалт, сэрэмжлүүлэг, бодлого мөрдүүлэлтийг дэмждэг.

  • `operator` — Service account; kubescape; Хасагдах илрүүлэлт: Access control for container service accounts (v1); Secret access permissions (v1); Excessive delete permissions (v1)
  • `kubescape` — Service account; kubescape; Хасагдах илрүүлэлт: Access control for container service accounts (v1); Secret access permissions (v1); Excessive delete permissions (v1)
  • `kollector` — Service account; kubescape; Хасагдах илрүүлэлт: Access control for container service accounts (v1); Secret access permissions (v1); Excessive delete permissions (v1)
  • `storage-aggregated-apiserver-sa` — Service account; kubescape; Хасагдах илрүүлэлт: Access control for container service accounts (v1); Secret access permissions (v1); Excessive delete permissions (v1)
  • `storage` — Service account; kubescape; Хасагдах илрүүлэлт: Automount of service account token
  • `node-agent` — Service account; kubescape; Хасагдах илрүүлэлт: Automount of service account token
  • `kube-controller-manager` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `kube-scheduler` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `route-controller` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `superadmin` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `pkgextract-service` — Service account; kube-system; Хасагдах илрүүлэлт: Бүгд
  • `default` — Service account; gmp-system; Хасагдах илрүүлэлт: Бүгд
  • `collector` — Service account; gmp-system; Хасагдах илрүүлэлт: Бүгд
  • `operator` — Service account; gmp-system; Хасагдах илрүүлэлт: Бүгд
  • `collector` — Service account; gmp-public; Хасагдах илрүүлэлт: Бүгд
  • `alertmanager` — StatefulSet; gmp-system; Хасагдах илрүүлэлт: Бүгд
  • `collector` — DaemonSet; gmp-system; Хасагдах илрүүлэлт: Бүгд
  • `rule-evaluator` — Deployment; gmp-system; Хасагдах илрүүлэлт: Бүгд
  • `gmp-operator` — Deployment; gmp-system; Хасагдах илрүүлэлт: Бүгд
  • `gke-metrics-agent-conf` — ConfigMap; kube-system; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт kubescape namespace дахь storage-apiserver deployment-д хамаарна. Энэ бүрэлдэхүүн Kubescape-ийн ашигладаг хадгалалттай холбоотой API-г удирддаг. Сүлжээний хандалт, аюулгүй байдлын контекст, эрхийн тусгай тохиргоо шаарддаг бөгөөд эдгээр нь хатуу хамгаалалтын дүрэмтэй бүрэн нийцэхгүй байж болно.

  • `storage-apiserver` — Deployment; kubescape; Хасагдах илрүүлэлт: Automount of service account token; Configured liveness probe; Configured readiness probe; NetworkPolicy labels; Immutable container filesystem; Ingress and egress policy enforcement; Label usage for resources; Linux hardening

Тайлбар (Details): Энэ хасалт kube-system, gmp-system, gmp-public зэрэг namespace-ийн системийн түвшний төрөл бүрийн webhook тохиргоо, API service, namespace-д хамаарна. Эдгээр нөөцийг платформ (жишээлбэл GKE) удирдаж, сүлжээний бодлого, нөөцийн хязгаар, метрик, хүлээн авалтын (admission) хяналтын логикийг мөрдүүлдэг. Тэдгээрийн бүтэц, эрхийг доод системээс тодорхойлдог бөгөөд хасалт нь найдвартай, платформд нэгдсэн бүрэлдэхүүнд байрлалын зөрчил гарахаас сэргийлнэ.

  • `ca-validate-cfg` — ValidatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `flowcontrol-guardrails.config.common-webhooks.networking.gke.io` — ValidatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `validation-webhook.snapshot.storage.gke.io` — ValidatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `gmp-operator.gmp-system.monitoring.googleapis.com` — ValidatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `warden-validating.config.common-webhooks.networking.gke.io` — ValidatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `nodelimit.config.common-webhooks.networking.gke.io` — ValidatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `gkepolicy.config.common-webhooks.networking.gke.io` — ValidatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `validation-webhook.snapshot.storage.k8s.io` — ValidatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `v1beta1.metrics.k8s.io` — API Service; N/A; Хасагдах илрүүлэлт: Бүгд
  • `pod-ready.config.common-webhooks.networking.gke.io` — MutatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `ca-mutate-cfg` — MutatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `neg-annotation.config.common-webhooks.networking.gke.io` — MutatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `mutate-scheduler-profile.config.common-webhooks.networking.gke.io` — MutatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `sasecret-redacter.config.common-webhooks.networking.gke.io` — MutatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `workload-defaulter.config.common-webhooks.networking.gke.io` — MutatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `admissionwebhookcontroller.config.common-webhooks.networking.gke.io` — MutatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `gke-vpa-webhook-config` — MutatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `filestorecsi-mutation-webhook.storage.k8s.io` — MutatingWebhookConfiguration; N/A; Хасагдах илрүүлэлт: Бүгд
  • `kube-system` — Namespace; N/A; Хасагдах илрүүлэлт: Бүгд
  • `gmp-public` — Namespace; N/A; Хасагдах илрүүлэлт: Бүгд
  • `gmp-system` — Namespace; N/A; Хасагдах илрүүлэлт: Бүгд

Тайлбар (Details): Энэ хасалт system:kube-scheduler, system:kube-controller-manager, system:masters бүлэг зэрэг системээр тодорхойлогдсон хэрэглэгч, бүлгүүдэд хамаарна. Эдгээр identity нь Kubernetes-ийн удирдлагын хавтгайн (control plane) үйл ажиллагаа, кластерын администраторын ажилд салшгүй. Хасалт нь байрлалын шалгалт (posture check) кластерын тогтвортой удирдлагад шаардлагатай урьдчилан тодорхойлсон хандалтын үүрэг, эрхийг тэмдэглэх эсвэл тасалдуулахгүй байхыг хангана.

  • `system:clustermetrics` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:controller:glbc` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:l7-lb-controller` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:managed-certificate-controller` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:gke-common-webhooks` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:kube-scheduler` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:gcp-controller-manager` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:resource-tracker` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:storageversionmigrator` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:kube-controller-manager` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:kubestore-collector` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:masters` — Group; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:kube-scheduler` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:kube-controller-manager` — User; N/A; Хасагдах илрүүлэлт: Бүгд
  • `system:masters` — Group; N/A; Хасагдах илрүүлэлт: Бүгд

Энэ хуудсанд гарсан нэр томъёо

Endpoint
Хамгаалж буй компьютер, сервер, виртуал машин
Policy
Хамгаалалтын тохиргооны багц; төхөөрөмж эсвэл бүлэгт оноодог
Network
Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)
Exclusions
Шалгалтаас хасах файл, хавтас, процесс
Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.