Darktrace 7.2 bringt verhaltensbasierte KI-Sicherheit in die Kubernetes-Laufzeit

Warum Kubernetes schwer abzusichern ist

Darktrace argumentiert in einem Blogbeitrag, Kubernetes sei zu einer Grundlagentechnologie für Cloud-native Infrastruktur geworden und orchestriere kundenorientierte Anwendungen, Datenpipelines und zunehmend auch KI-Workloads. Das Unternehmen verweist auf eine Gartner-Prognose, wonach 2028 bereits 95 % der neuen KI-Deployments auf Kubernetes laufen werden, gegenüber weniger als 30 % heute.

Nach Darstellung des Unternehmens machen dieselben Eigenschaften, die Kubernetes so leistungsfähig machen, es auch schwer zu schützen. Viele Organisationen hätten nur begrenzten Einblick in ihre Cluster. Zudem werde das Problem oft ausschließlich als Posture-Management-Thema behandelt. Tools für Cloud Security Posture Management (CSPM) könnten zeigen, wie ein Cluster konfiguriert sein sollte, so Darktrace, aber nicht, was er gerade tatsächlich tut. Dafür sei eine verhaltensbasierte Überwachung zur Laufzeit nötig.

Darktrace nennt mehrere Gründe, warum herkömmliche Werkzeuge hier an ihre Grenzen stoßen:

• Komplexität: Nodes, Cluster, Container, Pods und Workloads müssen alle berücksichtigt werden.
• Flüchtige Architektur: Pods können binnen Sekunden starten und wieder enden, sodass ein kompromittierter Container womöglich verschwunden ist, bevor eine tiefere Untersuchung beginnt.
• Schwächere Workload-Grenzen: Container nutzen eine leichtgewichtige Isolation mit gemeinsamem Kernel statt eigener virtueller Maschinen. Ein kompromittierter Container kann daher stärker auf den Node und benachbarte Workloads durchschlagen als eine kompromittierte VM.
• API-gesteuerter Betrieb: Microservices kommunizieren über interne APIs, und die Kubernetes-Control-Plane ist selbst eine API. Das schafft eine große und dynamische Angriffsfläche.

Verhaltensbasierte Erkennung auf drei Ebenen

Darktrace grenzt seinen Ansatz von Laufzeit-Tools ab, die auf vordefinierte Regeln und Signaturen setzen. Diese täten sich nach Unternehmensangaben schwer mit neuartigen Angriffen und erzeugten im großen Maßstab viel Rauschen. Die Adaptive AI von Darktrace erstellt für jede Organisation ein Unique Behavioral Profile, lernt das normale Verhalten jedes Workloads, Nodes und jeder Identität im Cluster und meldet relevante Abweichungen. Als Beispiele nennt das Unternehmen einen Pod, der ein unbekanntes Ziel kontaktiert, eine unerwartet gestartete ausführbare Datei in einem Workload oder eine Identität, die eine Aktion ausführt, die sie nie zuvor ausgeführt hat.

Nach Unternehmensangaben überwacht Darktrace Kubernetes auf drei Ebenen:

• Netzwerkebene: Datenverkehr zwischen Pods, über Nodes hinweg und ins Internet, um laterale Bewegungen und ungewöhnliche Verbindungen zu erkennen.
• Prozessebene: was in Containern ausgeführt wird, etwa ein Prozess, der eine sensible Credential-Datei liest oder in einem Produktions-Pod eine unerwartete Shell startet.
• Control Plane: Aktivitäten gegenüber der Kubernetes-API, darunter in einem laufenden Pod ausgeführte Befehle, RBAC-Änderungen und ungewöhnliche administrative Aktionen.

Viele folgenschwere Sicherheitsvorfälle betreffen laut Darktrace die Control Plane. Diese sei für Lösungen, die nur Telemetrie auf Netzwerkebene analysieren oder scannen, oft schlechter einsehbar.

Risikokontext, Response und Forensik

Das Release kombiniert außerdem die Laufzeiterkennung mit Informationen zu Posture und Exposure. Darktrace zufolge macht die Lösung riskante Pod-Konfigurationen wie privilegierte Container, Host-Networking und zu großzügig berechtigte Service-Accounts schon beim Deployment der Workloads sichtbar und verknüpft CVEs aus Images mit den Workloads, in denen sie laufen. Das Unternehmen nennt als Beispiel, dass auffälliges Verhalten eines Workloads, der sensible Daten hostet, kritische Schwachstellen aufweist oder öffentlich erreichbar ist, deutlich verdächtiger wird und mehr Aufmerksamkeit verdient.

Bei der Reaktion kann Darktrace Aktionen auf Kubernetes-Workloads ausführen, darunter das Blockieren einer bösartigen Verbindung auf Pod-Ebene. Die Aktionen können vollständig autonom oder mit einem Menschen in der Entscheidungsschleife ablaufen, konfigurierbar nach gewünschtem Autonomiegrad und Umfang. Das Unternehmen erklärt, die Zahl der Kubernetes-nativen Response-Aktionen werde erweitert.

In der Forensik reichen die Funktionen von Darktrace für Forensic Acquisition & Investigation nun auch auf Kubernetes-Container. Untersuchungen lassen sich manuell durch einen Analysten oder automatisch aus einem Alarm heraus auslösen und sichern Beweise, bevor der Workload verschwindet. Das helfe Incident-Respondern, die Frage "Was ist tatsächlich passiert?" zu beantworten, wenn ein flüchtiger Workload bereits verschwunden ist, so das Unternehmen.

Was das für Security-Teams bedeutet

Darktrace gibt außerdem an, die Cluster-Aktivität mit der umgebenden Cloud-Umgebung zu korrelieren, darunter Identitäten in AWS, Azure und GCP, Netzwerkaktivität und Cloud-Assets. Analysten können so zwischen einem Kubernetes-Workload und seinem weiteren Kontext wechseln. Das Unternehmen positioniert dies als Alternative dazu, ein weiteres separates Sicherheitssilo hinzuzufügen.

Für Organisationen, die immer mehr Workloads, insbesondere KI, auf Kubernetes verlagern, soll das Release Security-Operations-Teams Laufzeittransparenz, Priorisierungskontext und Beweissicherung innerhalb einer bestehenden Darktrace-Installation bieten. Quelle ist ein Blogbeitrag des Herstellers, die beschriebenen Fähigkeiten sind daher Aussagen von Darktrace selbst. Angaben zu Preisen oder Verfügbarkeit macht das Unternehmen über die Veröffentlichung von Darktrace 7.2 hinaus nicht.