쿠버네티스 창시자에게 배우는 모범 사례 2판

247

CHAPTER 10

파드와 컨테이너 보안

10.3

파드와 컨테이너 보안 관련 고려 사항

파드 시큐리티 어드미션 제어 및 워크로드 격리 외에도, 파드 및 컨테이너 보안을 어떻게 처

리할지 고민할 때 검토해 볼 법한 다른 툴도 있다.

10.3.1

어드미션 컨트롤러

파드 시큐리티 어드미션 컨트롤러에 의해 작동되는 파드 보안은 앞에서 설명했는데, 클라우

드 네이티브 영역에도 다양한 어드미션 컨트롤러를 선택하여 사용할 수 있다. 기능상 파드

시큐리티 어드미션 컨트롤러가 너무 제약이 많다고 여겨지면 더 정교하게 보안 정책을 적용

할 수 있는 대체 솔루션이 많으니 참고하자(어드미션 컨트롤에 대한 자세한 내용은

17

장 참

고).

10.3.2

침입 및 이상 징후 탐지 툴

지금까지 보안 정책과 컨테이너 런타임을 살펴보았는데, 컨테이너 런타임 내부에서는 어떻

게 정책을 집행하고 관리할 수 있을까? 이런 일, 또 그 이상의 기능을 제공하는 오픈 소스 툴

이 있다. 대부분 리눅스 시스템 콜을 리스닝/필터링하거나

BPF

Berkeley

Packet

Filter

(버클리 패킷

필터 )

12

를 활용하는 방식이다. 일례로, 데몬셋으로 설치해서 실행 중에도 정책을 구성하고

반영할 수 있는 팔코

Falco

13

라는

CNCF

프로젝트가 있다. 팔코 역시 많은 툴 중 하나에 불과하

니, 다른 툴도 꼼꼼이 ...