Titolo del corso: dgt_k8s07 – Sicurezza
Descrizione:
Il corso “dgt_k8s07 – Sicurezza” tratta come rendere i deploy Kubernetes (K8s) resistenti alle minacce attuali e come verificare che lo siano davvero. Copre best practice, strumenti e metodologie di sicurezza specifici per gli ecosistemi Kubernetes.
La sicurezza è l’ambito in cui l’approccio in linguaggio naturale richiede il massimo rigore. Dopo aver studiato come funzionano davvero RBAC, network policy, syscall e layer delle immagini, chiedi all’agente AI di mettere in sicurezza un namespace, limitare il traffico tra pod o scansionare un’immagine, dichiarando con chiarezza cosa deve restare raggiungibile e cosa no. Poi leggi riga per riga le policy e le regole che genera, le metti alla prova contro i percorsi di attacco che conosci e le contesti ogni volta che un manifest è più permissivo di quanto dichiari.
Obiettivi formativi principali:
-
Fondamenti di sicurezza in Kubernetes: si studiano i concetti chiave come la segmentazione di rete, la gestione delle identità e i controlli di accesso all’interno dei cluster Kubernetes.
-
Sicurezza di rete con Calico ed eBPF: si studia come le network policy di Calico rafforzano la sicurezza di un ambiente K8s e l’uso di eBPF (extended Berkeley Packet Filter) per un networking ad alte prestazioni e un’applicazione più granulare delle regole di sicurezza. Descriverai alla macchina le regole di traffico desiderate e verificherai che le policy risultanti applichino esattamente quelle regole.
-
Sicurezza a runtime con Falco: si studia come Falco, uno strumento di sicurezza a runtime, rileva comportamenti anomali monitorando le system call e altri eventi dei workload Kubernetes. Farai installare Falco all’agente e gli farai scrivere le regole a partire dalla tua descrizione, poi provocherai comportamenti sospetti per confermare che gli alert scattino.
-
Implementazione delle NetworkPolicy di Kubernetes: comprendi come le NetworkPolicy controllano il traffico tra i pod e verso i servizi esterni e impara a specificarle in linguaggio naturale con una precisione tale che l’output della macchina riduca al minimo i vettori di attacco; poi verifica tu stesso la connettività.
-
Scansione delle immagini container con Trivy: istruisci la macchina ad aggiungere scansioni di vulnerabilità con Trivy alla pipeline CI/CD, poi interpreta i report restituiti, distinguendo i rischi reali dal rumore e individuando le vulnerabilità note (CVE) prima che raggiungano la produzione.
-
Pratiche DevSecOps: integra la sicurezza nel ciclo DevOps con un approccio DevSecOps, facendo in modo che la sicurezza sia parte integrante di ogni fase del ciclo di vita dello sviluppo software.
-
Individuare presto le vulnerabilità CVE grazie all’integrazione CI/CD: impara strategie per rilevare e gestire le Common Vulnerabilities and Exposures (CVE) nelle prime fasi della pipeline di Continuous Integration/Continuous Deployment, e per verificare che i controlli predisposti dalla macchina blocchino davvero i potenziali exploit.
A chi è rivolto:
- DevOps Engineer
- Amministratori Kubernetes
- Specialisti di sicurezza
- Sviluppatori software che si occupano di sicurezza negli ambienti Kubernetes
Al termine del corso i partecipanti comprenderanno il funzionamento dei protocolli di sicurezza nei cluster Kubernetes e sapranno farli implementare e mantenere tramite istruzioni in linguaggio naturale, verificando ogni risultato. Il corso è adatto sia a chi ha già esperienza di sicurezza in Kubernetes sia a chi inizia ad occuparsene.
Gli studenti possono caricare i propri esercizi nel Progetto Git dell’Academy DevOps & SRE. Per questo modulo, create una cartella con il vostro username come nome nella seguente sottocartella: https://github.com/Garanti-Del-Talento/gdt_academy/tree/main/dgt_k8s07__security