开源工具系列7:Kube-bench

导语

Kube-Bench 是一个基于Go开发的应用程序,属于 Kubernete 的安全检测的工具。它可以帮助研究人员对部署的 Kubernete 进行安全检测。

Kube-Bench 是什么

  • 从本质上来说,Kube-Bench 是一个基于Go开发的应用程序,属于 Kubernete 的安全检测的工具。它可以帮助研究人员对部署的 Kubernete 进行安全检测。
  • 可通过运行 CIS Kubernetes Benchmark 中记录的检查来检测,检测 Kubernetes 是否根据 CIS Kubernetes 基准中定义的安全最佳实践进行部署。
  • 测试规则需要通过 YAML 文件进行配置,因此我们可以轻松更新该工具的测试规则。

安装 Kube-Bench

如果您直接从命令行运行 kube-bench,您可能需要成为 root / sudo 才能访问所有配置文件。

默认情况下,kube-bench 会尝试自动检测 Kubernetes 的运行版本,并将其映射到相应的 CIS Benchmark 版本。例如,Kubernetes 1.15 版本映射到 CIS Benchmark 版本 cis-1.15,这是对 Kubernetes 1.15 有效的基准版本。

kube-bench 还尝试识别节点上运行的组件,并使用它来确定要运行哪些测试(例如,如果节点正在运行 API 服务器,则只运行主节点测试)。

注意

请注意 ,使用 kube-bench 无法检查托管集群的主节点,例如 GKE、EKS、AKS 和 ACK,因为人们无法访问这些节点,尽管仍然可以使用 kube-bench 检查 worker这些环境中的节点配置。

无法检查托管集群的主节点,例如 GKE、EKS、AKS 和 ACK,使用 kube-bench 作为一个无法访问这些节点,尽管仍然可以使用 kube-bench 检查这些环境中的工作节点配置。

运行 Kube-Bench

在容器内运行

您可以避免在主机上安装 kube-bench,方法是使用主机 PID 命名空间在容器内运行它,并挂载配置和其他文件位于主机上的 /etc 和 /var 目录,以便 kube-bench 可以检查它们的存在和权限。

docker run --pid=host -v /etc:/etc:ro -v /var:/var:ro -t docker.io/aquasec/kube-bench:latest --version 1.18

注意:测试需要路径中的 kubelet 或 kubectl 二进制文件才能自动检测 Kubernetes 版本。您可以通过 -v $(which kubectl):/usr/local/mount-from-host/bin/kubectl 来解决这个问题。您还需要传入 kubeconfig 凭据。例如:

docker run --pid=host -v /etc:/etc:ro -v /var:/var:ro -v $(which kubectl):/usr/local/mount-from-host/bin/kubectl -v ~/.kube:/.kube -e KUBECONFIG=/.kube/config -t docker.io/aquasec/kube-bench:latest

您可以使用自己的配置,方法是将它们安装在 /opt/kube-bench/cfg/ 中的默认配置之上

docker run --pid=host -v /etc:/etc:ro -v /var:/var:ro -t -v path/to/my-config.yaml:/opt/kube-bench/cfg/config.yaml -v $(which kubectl):/usr/local/mount-from-host/bin/kubectl -v ~/.kube:/.kube -e KUBECONFIG=/.kube/config docker.io/aquasec/kube-bench:latest

在 Kubernetes 集群中运行

您可以在 pod 内运行 kube-bench,但它需要访问主机的 PID 命名空间以检查正在运行的进程,以及访问主机上存储配置文件和其他文件的某些目录。

提供的 job.yaml 文件可用于将测试作为作业运行。例如:

$ kubectl apply -f job.yaml
job.batch/kube-bench created


$ kubectl get pods
NAME                      READY   STATUS              RESTARTS   AGE
kube-bench-j76s9   0/1     ContainerCreating   0          3s


# Wait for a few seconds for the job to complete
$ kubectl get pods
NAME                      READY   STATUS      RESTARTS   AGE
kube-bench-j76s9   0/1     Completed   0          11s


# The results are held in the pod's logs
kubectl logs kube-bench-j76s9
[INFO] 1 Master Node Security Configuration
[INFO] 1.1 API Server
...

要在主节点上运行测试,需要在该节点上安排 pod。这涉及在 pod 规范中设置 nodeSelector 和容忍度。

自 Kubernetes 1.11 以来,应用于主节点的默认标签发生了变化,因此如果您使用的是旧版本,则可能需要修改 nodeSelector 和 tolerations 才能在主节点上运行作业。

启动 Kube-Bench

有多种运行 Kube-Bench 的方法。您可以在 pod 内运行 Kube-Bench,但它需要访问主机的 PID 命名空间以检查正在运行的进程,以及访问主机上存储配置文件和其他文件的某些目录。

提供的 job.yaml 文件可用于将测试作为作业运行。例如:

$ kubectl apply -f job.yaml
job.batch/Kube-Bench created


$ kubectl get pods
NAME                      READY   STATUS              RESTARTS   AGE
Kube-Bench-j76s9   0/1     ContainerCreating   0          3s


# Wait for a few seconds for the job to complete
$ kubectl get pods
NAME                      READY   STATUS      RESTARTS   AGE
Kube-Bench-j76s9   0/1     Completed   0          11s


# The results are held in the pod's logs
kubectl logs Kube-Bench-j76s9
[INFO] 1 Master Node Security Configuration
[INFO] 1.1 API Server
...

获取 Kube-Bench 结果

$ kubectl apply -f job.yaml
job.batch/kube-bench created


$ kubectl get pods
NAME                      READY   STATUS              RESTARTS   AGE
kube-bench-j76s9   0/1     ContainerCreating   0          3s


# Wait for a few seconds for the job to complete
$ kubectl get pods
NAME                      READY   STATUS      RESTARTS   AGE
kube-bench-j76s9   0/1     Completed   0          11s

Kube-Bench 结果

# The results are held in the pod's logs
kubectl logs kube-bench-j76s9
[INFO] 1 Master Node Security Configuration
[INFO] 1.1 API Server
...

检测结果内容示例

开源工具系列7:Kube-bench_第1张图片开源工具系列7:Kube-bench_第2张图片开源工具系列7:Kube-bench_第3张图片

注意事项

  1. Kube-Bench 尽可能接近地实现 CIS Kubernetes Benchmark 。如果 Kube-Bench 没有按照 Benchmark 中的描述正确执行安全测试,请在这里提出问题。要报告基准本身的问题(例如,您认为不合适的测试),请加入 CIS 社区。
  2. Kubernetes 版本和 CIS 基准测试版本之间没有一对一的映射。请参阅 CIS Kubernetes 基准支持,了解不同版本的基准涵盖了哪些 Kubernetes 版本。
  3. Kube-Bench 无法检查受管集群的主节点,例如 GKE、EKS 和 AKS,因为 Kube-Bench 不能访问这些节点。不过,Kube-Bench 在这些环境中仍然可以检查 worker 节点配置。
  4. 默认情况下,Kube-Bench 会根据机器上运行的 Kubernetes 版本来确定要运行的测试集。

Kube-Bench 项目信息

Github 项目地址:

https://github.com/aquasecurity/kube-bench

关于HummerRisk

HummerRisk 是开源的云原生安全平台,以非侵入的方式解决云原生的安全和治理问题,核心能力包括混合云的安全治理和K8S容器云安全检测。

Github 地址:https://github.com/HummerRisk/HummerRisk

Gitee 地址:https://gitee.com/hummercloud/HummerRisk

开源工具系列7:Kube-bench_第4张图片

你可能感兴趣的:(开源工具推荐,开源,docker,kubernetes)