KubeCon 2025 Tag 2 Zusammenfassung: Sicherheit steht im Mittelpunkt

An Tag 2 der KubeCon 2025 wurde tief in die vielen Facetten der Cloud-nativen Sicherheit eingetaucht und gezeigt, wie Praktiker Zero-Trust-Prinzipien anwenden, Policy-as-Code integrieren, KI-Workloads sichern und Kubernetes-Cluster in realen Szenarien abhärten. Im Folgenden finden Sie meine technische Zusammenfassung der Notizen, die ich an Tag 2 gemacht habe, sowie die Erkenntnisse aus einem arbeitsreichen Tag, der der Sicherung moderner Infrastrukturen und Anwendungen gewidmet war.

Keynote-Highlights der KubeCon 2025 - Stärkung der Cloud-Sicherheitsgrundlagen

Die Eröffnungssitzungen gaben den Ton an, indem sie Rust im Linux-Kernel, Zero-Trust-Architekturen und dynamisches Scheduling zur Ressourcenoptimierung beleuchteten. Der Tag war vollgepackt mit einer Vielzahl von Vorträgen, wobei einige Highlights für Sicherheitsinteressierte besonders hervorstachen:

Rust im Linux-Kernel

Ein Gespräch über die Verwendung von Rust zur Verbesserung von Leistung und Sicherheit im Kernel. Die speichersicheren Konstrukte von Rust versprechen weniger Schwachstellen und damit eine sicherere Basis für containerisierte Workloads.

Zero-Trust für LLM-Bewerbungen

Ein früher Hinweis darauf, dass die Sicherung von KI/ML-Workloads ein wiederkehrendes Thema sein würde, wobei der Schwerpunkt darauf lag, dass große Sprachmodelle (LLMs) besondere Aufmerksamkeit auf den Datenschutz, ephemere Berechtigungsnachweise und sichere Modellbereitstellungspraktiken erfordern.

Policy-as-Code - Automatisierung der Sicherheit in großem Maßstab

Im Laufe des Tages befassten sich mehrere Sitzungen mit dem "shifting-left"-Trend im Bereich der Sicherheit, d. h. mit der Einbindung von Sicherheitsprüfungen in einem frühen Stadium des Entwicklungszyklus. Die Teilnehmer untersuchten, wie Policy-as-Code-Frameworks konsistente Leitplanken in verschiedenen Umgebungen durchsetzen.

Kyverno Contribfest: Ein praktischer Workshop führte die Teilnehmer durch die Implementierung von Policy-as-Code-Lösungen mit Kyverno. Dazu gehörte das Schreiben von Richtlinien zur Kontrolle von Container-Image-Quellen, zur Validierung von Konfigurationsfeldern und zur Durchsetzung von Best Practices für die Clustersicherheit.

Ein praktischer Leitfaden für Kubernetes Policy as Code: Eine Präsentation, die näher darauf einging, wie Unternehmen Compliance-Prüfungen, Schwachstellen-Scans und betriebliche Einschränkungen vereinheitlichen können. Die Sitzung bot Beispiele aus der Praxis für mandantenfähige Cluster, in denen die Durchsetzung von Richtlinien eine stabile, sichere Basis gewährleistet.

Wichtigste Erkenntnisse:

1. Automatisierung: Umwandlung von Unternehmensrichtlinien in Code, um Rätselraten und manuelle Überwachung zu vermeiden
   
2. Konsistenz: Automatisieren Sie wiederholte Prüfungen in CI/CD-Pipelines, Staging- und Produktionsclustern
   
3. Steuerung: Bieten Sie Sicherheitsteams ein versionskontrolliertes, überprüfbares Richtlinien-Framework, das sich nahtlos in die Arbeitsabläufe von Entwicklern integrieren lässt.

Sicherung der Software-Lieferkette

Ein weiteres beherrschendes Thema war die Sicherheit der Lieferkette: Es sollte sichergestellt werden, dass Container-Images, Manifeste und andere Artefakte in einem vertrauenswürdigen Zustand in die Produktion gelangen.

Attestierung und Verifizierung Ihrer Software-Lieferkette mit In-Toto: In dieser Sitzung wurde gezeigt, wie jeder Schritt in einer Software-Build-Pipeline kryptographisch bestätigt werden kann. Durch das Signieren von Artefakten und deren Verifizierung vor der Bereitstellung können Teams die Provenienz garantieren und das Risiko von Manipulationen reduzieren.

Unterschrieben, versiegelt, zugestellt: Alle Dinge signieren und verifizieren: Eine Demonstration, wie Code-Signierung und Artefakt-Verifizierungs-Workflows auf alles von Helm-Diagrammen bis hin zu Container-Images ausgedehnt werden können. Der Schwerpunkt lag auf der Verhinderung unbefugter Änderungen, was besonders in mandantenfähigen oder Compliance-lastigen Umgebungen wichtig ist.

Wichtigste Erkenntnisse:

1. Unveränderliche Provenienz: Speicherung kryptografischer Prüfsummen in sicheren Registern oder Ledger-basierten Systemen für fälschungssichere Aufzeichnungen
   
2. Shift Left: Integrieren Sie Scannen und Signieren so früh wie möglich, in der Regel direkt nach einem erfolgreichen Build.
   
3. Laufzeit-Durchsetzung: Verwenden Sie Zulassungssteuerungen oder benutzerdefinierte Operatoren, um ungeprüfte Bilder oder Code abzulehnen und so die Sicherheit von Grund auf zu gewährleisten.
   

Zero Trust und vertrauliches Computing

Zero Trust hat sich als leistungsfähiges Gestaltungsprinzip zum Schutz von Daten im Ruhezustand und bei der Übertragung herausgestellt:

Vertraue niemandem: Sichere Speicherung mit vertraulichen Containern: In diesem Vortrag ging es um vertrauliche Datenverarbeitung, die sich auf hardwaregestützte Enklaven zum Schutz von Daten während der Laufzeit stützt. Durch die Kombination von Container-Orchestrierung mit Zertifizierungsdiensten können Cluster sicherstellen, dass nur zugelassene Workloads auf sensible Ressourcen zugreifen.

Absicherung von KI-Workloads: Aufbau einer Zero-Trust-Architektur für LLM-Anwendungen: In dieser Sitzung wurde veranschaulicht, wie Zero-Trust auf KI-Pipelines angewendet werden kann. Dabei wurde der Schwerpunkt auf ephemere Anmeldeinformationen, automatische Richtlinienprüfungen und verifizierte Dateneingabe gelegt, um zu verhindern, dass nicht vertrauenswürdige Daten ein Modell kontaminieren.

Wichtigste Erkenntnisse:

1. Hardware-Vertrauenswurzel: Verwendung von Enklaven oder vertrauenswürdigen Plattformmodulen (TPMs) zur Authentifizierung und Verifizierung von Arbeitslasten auf Hardware-Ebene
   
2. Kurzlebige Berechtigungsnachweise: Vermeiden Sie langlebige Geheimnisse durch die Integration von kurzlebigen Token, robustem Identitätsmanagement und dynamischen Richtlinien für Dienstkonten.
   
3. Tiefgreifende Verteidigung: Kombinieren Sie Sicherheit auf Containerebene mit Zero-Trust-Netzwerken, um sicherzustellen, dass jede Anfrage authentifiziert, autorisiert und überwacht wird.

Security Slams und Live-Demos

Interaktive Security Slam-Veranstaltungen boten den Teilnehmern einen praktischen, rasanten Ansatz für die Diagnose gängiger Schwachstellen, die Vorstellung von Open-Source-Tools und die Präsentation von Best-Practice-Sicherheitsmustern:

Security Slam: Meshery und OpenTelemetry: Diese Demos veranschaulichten, wie man Fehlkonfigurationen entdeckt und Anomalien in Dienstnetzen aufspürt oder verteilte Systeme instrumentiert, um Sicherheitseinblicke in Echtzeit zu erhalten. Sie befassten sich mit der Erkennung von Bedrohungen in Microservice-Umgebungen und überbrückten die Lücke zwischen Beobachtbarkeit und Intrusion Detection.

KubeHound: In einer gesponserten Demo wurde ein Tool vorgestellt, das in der Lage ist, potenzielle Angriffspfade innerhalb von Kubernetes-Clustern automatisch zu kartieren und Teams dabei zu helfen, Sicherheitslücken in großem Umfang zu visualisieren und zu beheben.

Wichtigste Erkenntnisse:

1. Praktische Diagnostik: Tools wie Meshery, OpenTelemetry und spezielle Scanner ermöglichen die Erkennung von Anomalien oder Fehlkonfigurationen nahezu in Echtzeit
   
2. Visuelles Angriffsmapping: Die Identifizierung der Kette potenzieller Schwachstellen kann die Reaktion auf Vorfälle erheblich beschleunigen
   
3. Gemeinschaftliche Zusammenarbeit: Partizipative "Slams" oder Demos zeigen, wie sich Probleme in Echtzeit entwickeln, und fördern den Wissensaustausch zwischen den Teams

KI-Sicherheit: Große Modelle, große Risiken

In Fortsetzung der KI/ML-Dynamik von Tag 1 konzentrierten sich die Sitzungen an Tag 2 auf die Sicherheitsauswirkungen fortschrittlicher KI-Workloads:

Absicherung von KI-Workloads: Aufbau einer Zero-Trust-Architektur für LLM-Anwendungen: Wie bereits erwähnt, befasst sich dieser detaillierte Ansatz zur LLM-Sicherheit mit der Datenprovenienz, der Kontrolle von Modelleingaben/-ausgaben und der Verhinderung von Datenlecks in einer Zero-Trust-Umgebung.

Produktionsfähige LLMs auf Kubernetes: Muster, Fallstricke und Leistung: Obwohl der Vortrag ein breites Spektrum betrieblicher Belange abdeckte, stand die Sicherheit im Vordergrund - insbesondere wurde aufgezeigt, wie Angreifer Modellendpunkte ausnutzen oder bösartige Daten einspeisen könnten, um die Leistung zu beeinträchtigen oder geschützte Erkenntnisse zu gewinnen.

Wichtigste Erkenntnisse:

1. Fein abgestufte Zugriffskontrolle: Begrenzen Sie, wer (oder was) Daten in ein LLM einspeisen kann, und stellen Sie eine zuverlässige Eingabevalidierung sicher.
   
2. Netzwerk-Segmentierung: Verwenden Sie Kubernetes-Netzwerkrichtlinien oder Service-Meshes, um KI-Inferenzdienste von weniger vertrauenswürdigen Bereichen zu isolieren.
   
3. Kontinuierliche Überwachung: Erweiterte Protokollierung und Erkennung von Anomalien, die verdächtige Modelleingaben oder ungewöhnliche Ressourcenverbrauchsmuster erkennen können
   

Beobachtbarkeit - der Schlüssel zu proaktiver Sicherheit

Ein wichtiges Thema war die Verknüpfung von Beobachtbarkeit und Sicherheit, wobei gezeigt wurde, wie fortschrittliches Tracing, Metriken und Protokolle die Erkennung von Bedrohungen und die Reaktion auf Zwischenfälle beschleunigen können:

First Day Foresight: Anomalie-Erkennung für Beobachtbarkeit: Der Vortrag war zwar allgemeiner gehalten, zeigte aber, wie fortschrittliche ML-basierte Anomalieerkennung die mittlere Zeit bis zur Behebung (MTTR) verkürzen kann, indem sie Probleme aufzeigt, bevor sie zu Sicherheitsvorfällen eskalieren.

Tiefes Eintauchen in die Beobachtbarkeit von KI-Agenten: Diese Sitzung kombinierte Echtzeit-Metriken, Traces und Protokolle für KI-gesteuerte Systeme und zeigte auf, wie robuste Telemetrie Transparenz und Compliance fördert.

Wichtigste Erkenntnisse:

1. Vereinheitlichte Telemetrie: Standardisieren Sie auf Frameworks wie OpenTelemetry, um Reibungsverluste zu reduzieren und die Datenerfassung über mehrere Microservices oder Cluster hinweg zu vereinheitlichen.
   
2. Proaktive Warnungen: Erkennung von Anomalien und anomaliebasierte Intrusion Detection, um Frühindikatoren für bösartiges Verhalten zu erkennen
   
3. Ursachenanalyse: Kombinieren Sie verteiltes High-Fidelity-Tracing mit Protokollen, um schnell festzustellen, ob ein Problem auf Codefehler, Fehlkonfigurationen oder externe Eingriffe zurückzuführen ist.
   

Sicheres Plattform-Engineering - Befähigung von Entwicklern ohne Kompromisse bei der Sicherheit

An Tag 2 wurde außerdem erläutert, wie Plattformteams Sicherheitsleitplanken integrieren können, ohne die Produktivität der Entwickler zu beeinträchtigen:

Choose Your Adventure - Das würdige Streben nach einer Entwicklerplattform: Der Schwerpunkt liegt auf einem ausgewogenen Ansatz, bei dem die Entwickler durch reibungslose Selbstbedienung gestärkt werden, aber im Hintergrund automatisierte Prüfungen, Scans und die Verwaltung von Geheimnissen stattfinden.

Viele Köche, eine Plattform: Gleichgewicht zwischen Eigentum und Beitrag für die perfekte Brühe: Es wurde gezeigt, wie mehrere Teams in großen Kubernetes-Umgebungen mithilfe von Richtliniendurchsetzung, rollenbasierter Zugriffskontrolle (RBAC) und konsistenter Governance sicher zusammenarbeiten können.

Wichtigste Erkenntnisse:

1. Unterstützung für Entwickler: Denken Sie bei der Einführung neuer Sicherheits- oder Compliance-Maßnahmen an die Erfahrung der Entwickler
   
2. Zentralisierte Steuerung, verteilte Kontrolle: Erlauben Sie jedem Team, zur Verbesserung der Plattform beizutragen, aber zentralisieren Sie Sicherheitsrichtlinien und Best Practices für Konsistenz.
   
3. Widerstandsfähigkeit und Flexibilität: Eine sichere Plattform muss auch anpassungsfähig sein - neue Bedrohungen und Compliance-Anforderungen entstehen in der Cloud-Native-Welt schnell
   

Schlussfolgerung

Tag 2 der KubeCon 2025 hat gezeigt, dass Sicherheit nicht länger ein nachträglicher Gedanke oder eine spezialisierte Funktion ist, sondern integraler Bestandteil des gesamten nativen Cloud-Lebenszyklus ist. Ganz gleich, ob der Schwerpunkt auf der Integrität der Lieferkette, Zero-Trust-KI-Implementierungen oder Policy-as-Code-Ansätzen liegt - Unternehmen betten die Sicherheit in jede Schicht ihres Kubernetes-Stacks ein.

Zu den wichtigsten Themen gehörten:

1. Überall Richtlinien: Von frühen Code-Festlegungen bis zur Durchsetzung während der Laufzeit ist Policy-as-Code von größter Bedeutung
   
2. Attestierung und Provenienz: Kryptografische Signaturen und In-Toto-Bescheinigungen helfen, das Vertrauen in verteilten Umgebungen zu erhalten.
   
3. Zero Trust und vertrauliches Computing: Beide sind auf dem Vormarsch, da HPC, KI-Workloads und die Orchestrierung der nächsten Generation einen robusten Datenschutz erfordern
   
4. Beobachtbarkeit = Sicherheit: Echtzeiteinsicht in Protokolle, Metriken und Spuren beschleunigt die Erkennung und entschärft Angriffe, bevor sie sich ausbreiten
   

Da die Cloud-Native-Community weiterhin innovativ ist, unterstreicht die Vertiefung des Themas Sicherheit an Tag 2, wie wichtig es ist, diese Schutzmaßnahmen in jeden Aspekt des Plattformbetriebs einzubinden. Unternehmen, die in robuste Sicherheitspraktiken investieren - sowohl aus betrieblicher als auch aus kultureller Sicht - sind am besten positioniert, um aufkommende Bedrohungen zu bewältigen und gleichzeitig zuverlässige, leistungsstarke Dienste in einem sich schnell entwickelnden Ökosystem bereitzustellen.