Сетевая безопасность контейнерной инфраструктуры

Контейнеризация становится стандартом для современной ИТ-инфраструктуры, но вместе с ней меняется сама модель сетевой безопасности. Привычный периметр размывается, IP-адрес перестаёт быть постоянной идентичностью, приложения дробятся на десятки и сотни взаимодействующих микросервисов, а значительная часть трафика уходит внутрь Kubernetes-кластеров. В результате традиционные средства защиты могут просто не видеть часть East-West-трафика, а компрометация одного workload открывает возможности для дальнейшего перемещения атакующего по инфраструктуре.

В прямом эфире AM Live разберём, как вернуть контроль над сетевым взаимодействием в контейнерной среде. Обсудим, где заканчиваются возможности CNI и NetworkPolicy, чем могут помочь Service Mesh, микросегментация и межсетевые экраны, как защищать взаимодействие Kubernetes с виртуальной и физической инфраструктурой и выполнять новые требования регуляторов. На практических сценариях покажем, как может развиваться атака внутри контейнерной среды, и попробуем ответить на главный вопрос: можно ли построить единую систему сетевой безопасности для контейнеров, виртуальных машин и классической инфраструктуры?

Программа

Контейнеризация и новые риски для сетевой безопасности

Почему контейнеризация набирает популярность?
В каких сценариях компании уже используют контейнеры?
Куда исчез привычный сетевой периметр, когда приложение переезжает в Kubernetes?
Чем контейнеры отличаются от виртуальных машин с точки зрения сети и изоляции?
Как на самом деле атакуют контейнеризацию и Kubernetes?
Что происходит при компрометации одного node/pod?
Где заканчивается CNI и начинается полноценная сетевая безопасность?
Если у компании уже есть CNI с NetworkPolicy и Service Mesh с mTLS — зачем ей ещё средство сетевой безопасности?

Новые регуляторные требования по защите контейнерных сред (Приказ №117 ФСТЭК России)

Что Приказ №117 ФСТЭК России означает для архитектора Kubernetes?
Почему регуляторика заставляет смотреть на контейнеры не как на DevOps-инструмент, а как на часть защищаемой инфраструктуры?
Как доказать выполнение требований, если значительная часть сетевых взаимодействий происходит внутри Kubernetes-кластера и традиционные средства их не видят?

Проблемы защиты контейнерной среды

Можно ли научить NGFW видеть то, что происходит внутри Kubernetes?
Как строить микросегментацию, если pod живёт минуты, IP постоянно меняются, а приложение автоматически масштабируется?
Что происходит с производительностью, когда начинаем инспектировать East-West traffic?
Можно ли защищать контейнеры и классические виртуальные хосты одними средствами сетевой безопасности?

Практика и мнение заказчиков

Как заказчики решают проблему контроля обмена данными между контейнерами на практике?
Кто должен отвечает за защиту контейнерной среды?
Какие средства защиты действительно нужны российским компаниям?
Как популярность контейниризации в России учитывается при развитии vGate?
Станет ли vGate единым зонтиком для защиты физической сети, виртуализации и контейнеризации?
Что можно сделать прямо сейчас для защиты контейнеризации и выполнения требований регуляторов?