CKS之k8s安全基准工具：kube-bench，网络安全事件分发机制及设计思路

最新推荐文章于 2024-05-11 20:05:57 发布

Java后时代

最新推荐文章于 2024-05-11 20:05:57 发布

阅读量359

点赞数 3

分类专栏： 2024年程序员学习文章标签：安全 kubernetes web安全

本文链接：https://blog.csdn.net/m0_61068088/article/details/137468301

版权

2024年程序员学习专栏收录该内容

291 篇文章 1 订阅

订阅专栏

kube-bench version

kube-bench配置

1.文件格式
kube-bench的配置文件采用YAML格式,包含一系列的检查项配置。每个检查项通过唯一的id进行标识。

测试项目配置文件路径:/etc/kube-bench/cfg/cis-1.6/

配置项示例:

id: 1.2.21
text: “Ensure that the --profiling argument is set to false (Automated)”
audit: “/bin/ps -ef | grep $apiserverpbin | grep -v grep”
tests:
test_items:
flag: “–profiling”
compare:
op: eq
value: false
remediation: |
Edit the API server pod specification file $apiservercconf
on the master node and set the below parameter.
–profiling=fals

2.检查项字段
每个检查项都包含以下几个主要字段:

id: 唯一标识符

text: 对该检查项的文字描述

audit: 执行审计的命令,用于检查当前系统状态

tests: 具体的测试条件 #tests下的test_items字段定义了具体的测试条件。可以根据实际需求修改该部分的测试逻辑

test_items: 实际测试项
compare: 测试结果与期望值的比较方式(eq、neq等)

remediation: 如果审计失败,给出的修复建议

scored: 该项对总分数的影响(true、false、WARN)

type: 该项的处理方式(manual、skip、info) #对于某些无法自动检查的项目,可以设置type=manual,kube-bench就会跳过该项并给出WARN警告。如果想跳过某项检查,可以将对应项的type设为skip,这样kube-bench就不会执行该项检查。

处理方式
测试条件

kube-bench运行示例

输出结果分为不同的部分，每部分检查 Kubernetes 的特定安全性方面，比如 API 服务器的配置、控制器管理器、调度器等。每项检查后面标记了“PASS”、“WARN”或“FAIL”，分别表示通过、警告或失败。警告和失败项通常需要人工检查或更正。例如，“FAIL”可能表明配置不符合安全最佳实践，而“WARN”可能意味着某些安全特性没有被启用或需要人工确认配置是否正确。