一 背景

Kubescape 是第一个用于测验 Kubernetes 是否依照 NSA 和 CISA 的 Kubernetes 强化指南中定义的安全布置的东西 运用 Kubescape 测验集群或扫描单个 YAML 文件并将其集成到您的流程中。

二 特性

  • 功用：供给多云 K8s 集群检测，包括危险剖析、安全性兼容、 RBAC 可视化东西和图画缝隙扫描。

  • 集群扫描：Kubescape 扫描 K8s 集群、 YAML 文件和 HELM 图表，依据多个结构(如 NSA-CISA、 MITRE att & ck)、软件缝隙和在 CI/CD 管道早期阶段的 RBAC (根据人物的访问操控)违规检测过错配置，即时计算危险评分并显示随时间推移的危险趋势。

  • 东西集成：与其他 DevOps 东西集成，包括 Jenkins、 CircleCI、 Github 工作流、 Prometheus 和 Slack，并支持多云 k8布置，如 EKS、 GKE 和 AKS。

因为其简略易用的 CLI 界面、灵活的输出格式和主动扫描才能，它成为开发人员中增加最快的 Kubernetes 东西之一，节省了用户和管理员名贵的时间、精力和资源

三 装置

3.1 Mac 装置

  brew tap armosec/kubescape
  brew install kubescape

3.2 Linux装置

curl -s https://raw.githubusercontent.com/armosec/kubescape/master/install.sh | /bin/bash

四 集群检测

4.1 履行扫描

扫描可分为本地集群扫描和提交成果到saas渠道。

chmod +x /root/.kubescape/kubescape
/root/.kubescape/kubescape scan framework nsa --exclude-namespaces kube-system,kube-public

4.2 输出成果

Kubernetes安全扫描之kubescape

五 SaaS渠道

saas渠道地址：portal.armo.cloud/，主要有三大功用，

  • 集群检测
  • 镜像扫描
  • RBAC可视化

5.1 集群检测

与单独在集群检测输出不同，saas渠道会将集群检测及上传到渠道进行可视化展示

curl -s https://raw.githubusercontent.com/armosec/kubescape/master/install.sh | /bin/bash
  • 提交检测成果到渠道
export ID=6xxxxxxxxxxx
kubescape scan --submit --account=${ID}
  • 检查成果

Kubernetes安全扫描之kubescape

一起可依据提示跳转到具体安全信息内容

Kubernetes安全扫描之kubescape

Kubernetes安全扫描之kubescape

5.2 镜像扫描

helm repo add armo https://armosec.github.io/armo-helm/
helm upgrade --install armo  armo/armo-cluster-components -n armo-system --create-namespace --set accountGuid=${ID} --set clusterName=`kubectl config current-context`

Kubernetes安全扫描之kubescape

  • 检查成果

能够看到集群整个镜像扫描的信息。

Kubernetes安全扫描之kubescape

一起针对单个镜像也能够看到具体扫描信息。

Kubernetes安全扫描之kubescape

能够针对单个镜像能够看是否有FIX AVAILABLE，以及FIX IN VERSION

Kubernetes安全扫描之kubescape

5.3 RBAC可视化

目前RBAC功用还处于beat阶段。

六 其他

kubescape能够很便利的在Node节点对集群进行包危险剖析、安全性兼容、 RBAC 可视化东西和图画缝隙扫描，一起能够使用SaaS非常便利的进行可视化，一起能够非常便利的与其他系统进行集成。

参阅链接

  • github.com/armosec/kub…
  • portal.armo.cloud/

本文正在参与「金石计划 . 分割6万现金大奖」