
Open-Source-Laufzeitscanner für Kubernetes-Cluster, der Sicherheitsaudits basierend auf der CIS Kubernetes Benchmark-Spezifikation durchführt.
Die Audit-Tests sind die vollständige Implementierung der CIS Kubernetes Benchmark-Spezifikation
NEU !! Audit-Ergebnisse können jetzt als Webhook über ein Benutzer-Plugin (mit Go-Plugin) genutzt werden.

git clone https://github.com/chen-keinan/kube-beacon
cd kube-beacon
make build
Führen Sie kube-beacon ohne Flags aus, um alle Tests durchzuführen
./kube-beacon
Führen Sie kube-beacon mit Flags aus, um Tests nach Bedarf auszuführen
Usage: kube-Beacon [--version] [--help] <command> [<args>]
Available commands are:
-r , --report : run audit tests and generate failure report
-i , --include: execute only specific audit test, example -i=1.2.3,1.4.5
-e , --exclude: ignore specific audit tests, example -e=1.2.3,1.4.5
-n , --node: execute audit tests on specific node, example -n=master,-n=worker
-s , --spec: execute specific audit tests spec, example -s=gke, default=k8s
-v , --version: execute specific audit tests spec version, example -v=1.1.0,default=1.6.0
Tests ausführen und Fehlerbericht erstellen
./kube-beacon -r
Führen Sie Kube-Beacon als Pod in einem k8s-Cluster aus
Cluster-Rollenbindung mit role=cluster-admin hinzufügen
kubectl create clusterrolebinding default-admin --clusterrole cluster-admin --serviceaccount=default:default
cd jobs
kubectl apply -f k8s.yaml
kubectl apply -f gke.yaml
kubectl get pods --all-namespaces
NAMESPACE NAME READY STATUS RESTARTS AGE
default kube-beacon-sc8g9 0/1 Completed 0 111s
kube-system event-exporter-gke-8489df9489-skcvv 2/2 Running 0 7m24s
kube-system fluentd-gke-7d5sl 2/2 Running 0 7m6s
kube-system fluentd-gke-f6q5d 2/2 Running 0 6m59s
kubectl logs kube-beacon-sc8g9
kubectl delete clusterrolebinding default-admin
kubectl delete -f k8s.yaml
Kube-Beacon stellt einen Hook für Benutzer-Plugins zur Verfügung Beispiel :
go build -buildmode=plugin -o=~/<plugin folder>/bench_plugin.so /<plugin folder>/bench_plugin.go
cp /<plugin folder>/bench_plugin.so ~/.beacon/plugins/compile/bench_plugin.so
Hinweis: Plugin und Binärdatei müssen mit derselben Linux-Umgebung kompiliert werden