2、解压使用
tar zxvf kube-bench_0.6.3_linux_amd64.tar.gz
mkdir /etc/kube-bench # 创建默认配置文件路径
mv cfg /etc/kube-bench/cfg
kube-bench使用
1. 运行所有适用的检查项
如果无法运行,可容器化部署,参考文章:****https://zhuanlan.zhihu.com/p/627749341
kube-bench run
2. 只运行控制组内的某些检查项
kube-bench run --check=1.1.1,1.1.2
3. 列出所有可用的控制检查项
kube-bench check --list
4. 针对特定的节点角色运行检查(master/node/etcd/policies)
kube-bench run --targets=master,node
5. 将结果输出为JSON格式
kube-bench run --json
6. 并行运行检查以提高速度
kube-bench run --parallel
7. 更新CIS基准到最新版本
kube-bench download latest
8. 查看kube-bench版本
kube-bench version
kube-bench配置
1.文件格式
kube-bench的配置文件采用YAML格式,包含一系列的检查项配置。每个检查项通过唯一的id进行标识。
测试项目配置文件路径:/etc/kube-bench/cfg/cis-1.6/
配置项示例:
- id: 1.2.21
text: “Ensure that the --profiling argument is set to false (Automated)”
audit: “/bin/ps -ef | grep $apiserverpbin | grep -v grep”
tests:
test_items:
- flag: “–profiling”
compare:
op: eq
value: false
remediation: |
Edit the API server pod specification file $apiservercconf
on the master node and set the below parameter.
–profiling=fals
2.检查项字段
每个检查项都包含以下几个主要字段:
id: 唯一标识符
text: 对该检查项的文字描述
audit: 执行审计的命令,用于检查当前系统状态
tests: 具体的测试条件 #tests下的test_items字段定义了具体的测试条件。可以根据实际需求修改该部分的测试逻辑
- test_items: 实际测试项
- compare: 测试结果与期望值的比较方式(eq、neq等)
remediation: 如果审计失败,给出的修复建议
scored: 该项对总分数的影响(true、false、WARN)
type: 该项的处理方式(manual、skip、info) #对于某些无法自动检查的项目,可以设置type=manual,kube-bench就会跳过该项并给出WARN警告。如果想跳过某项检查,可以将对应项的type设为skip,这样kube-bench就不会执行该项检查。
- 处理方式
- 测试条件
kube-bench运行示例
输出结果分为不同的部分,每部分检查 Kubernetes 的特定安全性方面,比如 API 服务器的配置、控制器管理器、调度器等。每项检查后面标记了“PASS”、“WARN”或“FAIL”,分别表示通过、警告或失败。警告和失败项通常需要人工检查或更正。例如,“FAIL”可能表明配置不符合安全最佳实践,而“WARN”可能意味着某些安全特性没有被启用或需要人工确认配置是否正确。
- “PASS”:表示检查项符合安全推荐。
- “WARN”:表示配置可能存在风险,建议进行检查。
- “FAIL”:表示配置不符合安全推荐,需要采取措施改进。
下图为Node相关的安全检查
1.1.12项“确保 etcd 数据目录权限设置为 700 或更严格 (自动化)”显示为“FAIL”,意味着当前的权限设置不够严格,可能需要进行权限的修改来加强安全性。
学习路线:
这个方向初期比较容易入门一些,掌握一些基本技术,拿起各种现成的工具就可以开黑了。不过,要想从脚本小子变成黑客大神,这个方向越往后,需要学习和掌握的东西就会越来越多以下是网络渗透需要学习的内容:
网上学习资料一大堆,但如果学到的知识不成体系,遇到问题时只是浅尝辄止,不再深入研究,那么很难做到真正的技术提升。
一个人可以走的很快,但一群人才能走的更远!不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人,都欢迎加入我们的的圈子(技术交流、学习资源、职场吐槽、大厂内推、面试辅导),让我们一起学习成长!