logo kube-beacon

Progetto Kube-Beacon

Scansiona il tuo runtime Kubernetes!!

Kube-Beacon è uno scanner di audit open source che esegue controlli di audit su un cluster Kubernetes distribuito e produce un report di sicurezza.

I test di audit sono l'implementazione completa della specifica CIS Kubernetes Benchmark

NUOVO!! il risultato dell'audit può ora essere utilizzato come webhook tramite plugin utente (usando plugin Go)

I controlli di audit vengono eseguiti sui nodi master e worker e il report di audit output include:

causa principale del problema di sicurezza
soluzione proposta per il problema di sicurezza

Output della scansione di audit del cluster Kubernetes:

k8s audit

Installazione
Avvio rapido
Kube-beacon come Docker
Kube-beacon come pod in k8s
Utilizzo plugin utente
Prossimi passi

Installazione

git clone https://github.com/chen-keinan/kube-beacon
cd kube-beacon
make build

Nota: kube-beacon richiede l'utente root per essere eseguito

Avvio rapido

Esegui kube-beacon senza alcun flag, esegui tutti i test

 ./kube-beacon

Esegui kube-beacon con flag, esegui test su richiesta

Usage: kube-Beacon [--version] [--help] <command> [<args>]

Available commands are:
  -r , --report :  run audit tests and generate failure report
  -i , --include: execute only specific audit test,   example -i=1.2.3,1.4.5
  -e , --exclude: ignore specific audit tests,  example -e=1.2.3,1.4.5
  -n , --node:    execute audit tests on specific node,   example -n=master,-n=worker
  -s , --spec:    execute specific audit tests spec,   example -s=gke, default=k8s
  -v , --version:  execute specific audit tests spec version,    example -v=1.1.0,default=1.6.0

Esegui test e genera report dei test falliti

./kube-beacon -r

Kube-beacon come pod in k8s

Esegui kube-beacon come pod in un cluster k8s
Aggiungi un cluster role binding con ruolo=cluster-admin

kubectl create clusterrolebinding default-admin --clusterrole cluster-admin --serviceaccount=default:default

cd jobs

per un cluster k8s semplice, esegui il seguente job

kubectl apply -f k8s.yaml

per un cluster GKE, esegui il seguente job

kubectl apply -f gke.yaml

Controlla lo stato del pod k8s

kubectl get pods --all-namespaces

NAMESPACE     NAME                                                        READY   STATUS      RESTARTS   AGE
default       kube-beacon-sc8g9                                           0/1     Completed   0          111s
kube-system   event-exporter-gke-8489df9489-skcvv                         2/2     Running     0          7m24s
kube-system   fluentd-gke-7d5sl                                           2/2     Running     0          7m6s
kube-system   fluentd-gke-f6q5d                                           2/2     Running     0          6m59s

Controlla l'output dell'audit del pod k8s

kubectl logs kube-beacon-sc8g9

pulizia (rimuovi ruolo ed elimina pod)

kubectl delete clusterrolebinding default-admin

kubectl delete -f k8s.yaml

Utilizzo plugin utente

Kube-Beacon espone un hook per plugin utente Esempio:

K8sBenchAuditResultHook - questo hook accetta i risultati del benchmark di audit come trovati dal report di audit

Compila il plugin utente

go build -buildmode=plugin -o=~/<plugin folder>/bench_plugin.so /<plugin folder>/bench_plugin.go

Copia il plugin nella cartella (la cartella .beacon viene creata al primo avvio)

cp /<plugin folder>/bench_plugin.so ~/.beacon/plugins/compile/bench_plugin.so

Nota: Plugin e binario devono essere compilati con lo stesso ambiente Linux

Prossimi passi

Aggiungere supporto per la scansione Amazon EKS

kube-beacon

Più Popolari