Watch — седмият етап от веригата за проследимост
Одобрено не означава, че се изпълнява
Матрицата Estate съпоставя всяка услуга с всяка среда: кой хеш е внедрен и какви доказателства стоят зад него. След внедряването Watch продължава да сравнява изпълнявания хеш с одобрения и матрицата се променя, когато те се различават.
Това не е планирано повторно сканиране. Watch работи, докато работи натоварването.
Веригата за проследимост
- Източник
- Компилиране
- Сканиране
- Оценка
- Решение
- Внедряване
- Наблюдение
Всеки етап носи едно от три състояния: MISSING, RECORDED или SIGNED. Първите шест етапа завършват. Watch не завършва — той продължава да проверява дали записът все още съответства на действителността.
Една матрица, всички среди
Инфраструктурата по-долу: услугите отстрани, средите отгоре и панелът с отклонения отворен отдолу. Недоказаната клетка има записано внедряване и непроверени доказателства. Едно отклонение е докладът на един агент за един работещ контейнер, чийто хеш не е одобрен; подправените находки се отчитат отделно. Digest-firstИдентификация на издание, базирана на неизменяеми хешове (SHA-256 хешове) вместо променливи тагове — байт-идентични внедрявания
Четири понятия, използвани на екрана
Всичко на екрана Estate се свежда до това какво е внедрено, какво е доказано и какво се е променило след одобрението.
Недоказана клетка
Внедряването е записано, но доказателствата зад него са непълни. Клетката не става зелена само въз основа на доверие.
Отклонение
Наблюдаващите агенти сравняват хеша, който действително се изпълнява за всяко натоварване, с одобрения за съответната среда хеш. Несъответствието става ред за отклонение: коя услуга, коя среда и кои два хеша не съвпадат.
Подправено
Нарушение на целостта: изпълняваният образ е променен спрямо подписания му запис. Подправените находки се отчитат отделно от отклоненията, защото промененият образ е различен проблем от неодобрения.
Паспорт на услугата
Всяка услуга носи своята следа от доказателства: състоянието на всеки етап по веригата за проследимост, от източника до последното наблюдение от Watch. Когато дадена клетка изисква обяснение, отваряте паспорта.
Защо това е трудно извън Kubernetes
Клъстерите Kubernetes имат слой за допускане: натоварването може да бъде отказано в момента на планирането. Проектите Compose, SSH/WinRM хостовете, задачите и заданията нямат еквивалентна контролна точка. Скенерите спират при находките. CD инструментите спират при събитието за внедряване. Контролерите за допускане проверяват само в Kubernetes и не оставят повторно проверими доказателства за решението в нито един от двата случая. Затова в повечето инфраструктури извън Kubernetes нищо не проверява дали изпълняваното днес все още е одобреното. Watch запълва тази празнина: непрекъснато сравнява хешове в инфраструктури без слой за допускане и записва всяка проверка.
Как работи оперативно
Цели за внедряване без агент
Stella Ops повишава издания към Docker Compose, SSH/WinRM хостове през собствения интерфейс на всяка цел. Внедряването не инсталира нищо в целта.
Наблюдаващи агенти
Наблюдението е отделно. Леки наблюдатели докладват хешовете, които действително се изпълняват във всяка цел. Където не работи наблюдател, състоянието по време на изпълнение е MISSING — никога не се приема за добро.
Какво можете да направите от ред за отклонение
- Проследете паспорта: кой хеш е одобрен за тази среда, въз основа на какви доказателства и от кого.
- Проверете повторно: изпълнете проверката отново спрямо текущите доказателства и запишете резултата.
- Върнете назад: внедрете отново последния известен добър хеш — точен артефакт, а не таг.
Кой използва този екран
Отговорник за операциите по изданията
Какво работи и къде?
Една матрица дава отговора: всяка услуга, всяка среда, внедреният хеш и състоянието на доказателствата. Не е нужно да сверявате журналите за внедряване с регистрите.
Проверяващ увереността
Внедрен ли е правилният софтуер и съответства ли това състояние на изискванията?
Състояние само за четене за всяка клетка: какво се изпълнява, дали веригата от доказателства е пълна и кога е проверена за последно.
Ръководител на риска за сигурността
Изпълнява ли се нещо, което не сме одобрили?
Неодобрените или променени образи се показват като редове за отклонение и подправяне, заедно с одобрения хеш за сравнение. Постоянна проверка, а не периодичен доклад.
Доказателствата от Estate захранват пакетите за съответствие
Събраните тук записи по веригата за проследимост и наблюдения от Watch са изходният материал за пакетите за съответствие. Активирането започва събиране на доказателства в консервативен режим само за доказателства; то не заявява съответствие с регулаторните изисквания.