Beveiliging van het vlootbeheer

Wie het vlootbeheer beheerst, raakt beide cellen; een celgrens begrenst deze rol niet vanzelf. Als vlootbrede rol valt het vlootbeheer daarom onder aparte maatregelen: twee beoordelaars naast de auteur, hardwaresleutels, opname van iedere sessie en een eigen beproeving van compromittering in de toets herstel na een aanval.

Voor het vlootbeheer als vlootbrede voorziening bestaat een dreigingsmodel, beoordeeld vóór de vrijgave.

Iedere sessie op het vlootcluster, ook een leessessie, loopt via de beheerwerkplek, met hardwaresleutel en opname. Verhoging gebeurt per taak, voor ten hoogste 4 uur en goedgekeurd door een tweede persoon; ten hoogste vier personen hebben de rol ‘vlootbeheer-beheerder’, die alleen het identiteitsbeheer toekent. De platformlezer leest zonder geheimen, de platformbeheerder wijzigt via versiebeheer. Tokens verlopen na 15 minuten inactiviteit en uiterlijk na 1 uur, ook in Argo CD.

De aanmeldstroom voor vlootbrede rollen laat alleen een hardwaresleutel toe, geen gesynchroniseerde toegangssleutel (passkey).

Teams hebben geen toegang tot het vlootcluster; console, Argo CD en Grafana zijn alleen voor platformrollen.

Noodtoegang tot het vlootcluster gebruikt het certificaat-kubeconfig, gesplitst bewaard in de kluis, door twee personen en met melding; na gebruik wordt het ongeldig gemaakt en vervangen. Het installatieaccount wordt verwijderd zodra de noodtoegang is beproefd.

Een beheerder van het vlootcluster is niet tevens beheerder van de onveranderbare kopie.

Een beheerd cluster haalt zijn geheimen, zoals het clusterregistratiegeheim van de beveiligingsbewaking, uit het geheimenbeheer van zijn eigen cel, met een ExternalSecret per cluster; via de hub gaan in beleid alleen verwijzingen naar geheimen. De geheimen van het vlootcluster zelf, zoals leestokens, webhookgeheim en objectopslagsleutels, komen alleen lezend via External Secrets uit het geheimenbeheer van cel 1 en zijn niet ouder dan 90 dagen. Importgeheimen zijn eenmalig.

De namen van het vlootcluster vallen onder het domein van de cel die het huisvest, in de eerste levering c1, zoals api.vl-01.c1.dc3.internal, omdat alleen de tussen-CA van die cel voor haar domeinen uitgeeft en de tussen-CA ‘vloot’ alleen dienstnamen van bedrijfskritische diensten. API- en ingangsadressen zijn virtuele adressen in VLAN 610 uit Infoblox, geregistreerd in NetBox.

Verbindingen van het vlootcluster gebruiken het TLS-profiel, Modern waar alle clients het ondersteunen en anders Intermediate, en certificaten uit de tussen-CA van de cel die het vlootcluster huisvest. Certificaten van API en ingangen komen via cert-manager uit de PKI-engine, zijn ten hoogste 2160 uur geldig en worden na twee derde daarvan vernieuwd; een CertificatePolicy van het vlootbeheer meldt op ieder cluster certificaten die binnen 30 dagen verlopen.

Het vlootcluster versleutelt zijn configuratiedatabase (etcd) met AES-GCM en zijn systeemschijven bij de installatie met TPM2; het opslagcluster versleutelt de volumes en objecten van het vlootcluster. De hubback-up en haar kopie buiten de cel zijn versleuteld, en de sleutel van de herstelkopieën ligt buiten de cel.

Het vlootcluster heeft twee ingangen met eigen adressen. De beheeringang draagt de consoles van hub en Central, Argo CD en Grafana, en is alleen bereikbaar vanaf de beheerwerkplek en de knooppunten van de platformclusters, niet vanaf werkers van gehoste clusters. De agentingang ontvangt de stromen van agenten en bouwcluster, met een eigen sensoradres van Central, en is als enige vanuit de afnemerszones bereikbaar, op 443.

Het vlootcluster staat in het routeringsdomein platform van cel 1: VLAN 610 ongetagd op de bundel, VLAN 620 voor blok- en bestandsopslag, objectopslag gerouteerd via VLAN 622 en servermanagement in VLAN 600. Dit zijn zijn verbindingen.

Software op het vlootcluster komt alleen uit de spiegel en de containerregistry; het vlootcluster wordt agent-based geïnstalleerd vanuit de containerregistry van cel 1 en heeft zelf toelatingscontrole, compliancecontrole en integriteitsbewaking.

Audit met verzoekinhoud (WriteRequestBodies), gebeurtenissen van Argo CD en beleidsstatus bereiken binnen 5 minuten de SIEM van het SOC, met bevestigde ontvangst. Het SOC bevestigt de ontvangst vóór de overdracht en bewaart een kopie buiten bereik van platformbeheer; de audit bevat geen inhoud van geheimen. Sessies op het vlootcluster ziet het SOC via de logbron van de beheerwerkplek.

De eerste detectieregels voor het vlootbeheer melden het gebruik van een noodaccount, een beheeraanmelding buiten de beheerwerkplek of vanaf een onbekende bron, verhoogde rechten zonder toekenning of gebruik buiten de opgegeven reden, een wijziging van beleid of inrichting buiten versiebeheer, en uitval of uitschakeling van een beveiligingsvoorziening. Een logbron die meer dan 15 minuten stil is, of een uitgeschakelde controle, geeft een melding.