Kubescape

개발부터 런타임까지 포괄적인 Kubernetes 보안

Kubescape은 오픈소스 Kubernetes 보안 플랫폼으로, 전체 개발 및 배포 수명 주기에 걸쳐 왼쪽에서 오른쪽으로 포괄적인 보안 커버리지를 제공합니다. 하드닝, 포스처 관리 및 런타임 보안 기능을 통해 Kubernetes 환경에 대한 강력한 보호를 보장합니다.

Kubescape은 ARMO에서 만들었으며 Cloud Native Computing Foundation (CNCF) 인큐베이팅 프로젝트입니다.

Kubescape의 지속적인 개발 및 개선을 위해 저장소에 별표 ⭐를 눌러주세요!

✨ 기능

기능	설명
🔍 설정 오류 스캔	NSA-CISA, MITRE ATT&CK® 및 CIS Benchmark에 대해 클러스터, YAML 파일 및 Helm 차트 스캔
🐳 이미지 취약점 스캔	Grype를 사용하여 컨테이너 이미지에서 CVE 탐지
🩹 이미지 패치	Copacetic을 사용하여 취약한 이미지 자동 패치
🔧 자동 수정	Kubernetes 매니페스트에서 설정 오류 자동 수정
🛡️ 승인 제어	Validating Admission Policy (VAP)로 보안 정책 적용
📊 런타임 보안	Inspektor Gadget 기반 eBPF 런타임 모니터링
🤖 AI 통합	AI 어시스턴트 통합을 위한 MCP 서버

🎬 데모

🚀 빠른 시작

1. Kubescape 설치

curl -s https://raw.githubusercontent.com/kubescape/kubescape/master/install.sh | /bin/bash

💡 자세한 옵션(Homebrew, Krew, Windows 등)은 설치를 참조하세요.

2. 첫 번째 스캔 실행

# 현재 클러스터 스캔
kubescape scan

# 특정 YAML 파일 또는 디렉터리 스캔
kubescape scan /path/to/manifests/

# 컨테이너 이미지 취약점 스캔
kubescape scan image nginx:latest

3. 결과 살펴보기

Kubescape은 다음과 같은 상세 보안 포스처 개요를 제공합니다.

컨트롤 플레인 보안 상태
접근 제어 위험
워크로드 설정 오류
네트워크 정책 격차
규정 준수 점수 (MITRE, NSA)

📦 설치

한 줄 설치 (Linux/macOS)

curl -s https://raw.githubusercontent.com/kubescape/kubescape/master/install.sh | /bin/bash

패키지 관리자

플랫폼	명령어
Homebrew	`brew install kubescape`
Krew	`kubectl krew install kubescape`
Arch Linux	`yay -S kubescape`
Ubuntu	`sudo add-apt-repository ppa:kubescape/kubescape && sudo apt install kubescape`
NixOS	`nix-shell -p kubescape`
Chocolatey	`choco install kubescape`
Scoop	`scoop install kubescape`

Windows (PowerShell)

iwr -useb https://raw.githubusercontent.com/kubescape/kubescape/master/install.ps1 | iex

📖 전체 설치 가이드 →

🛠️ CLI 명령어

Kubescape은 다음과 같은 포괄적인 CLI 명령어를 제공합니다:

명령어	설명
`kubescape scan`	보안 문제에 대해 클러스터, 파일 또는 이미지 스캔
`kubescape scan image`	컨테이너 이미지 취약점 스캔
`kubescape fix`	매니페스트 파일의 설정 오류 자동 수정
`kubescape patch`	컨테이너 이미지 패치로 취약점 수정
`kubescape list`	사용 가능한 프레임워크 및 컨트롤 목록 표시
`kubescape download`	오프라인/에어갭 환경에서 사용할 아티팩트 다운로드
`kubescape config`	캐시된 구성 관리
`kubescape operator`	클러스터 내 Kubescape operator와 상호 작용
`kubescape vap`	Validating Admission Policy 관리
`kubescape mcpserver`	AI 어시스턴트 통합을 위한 MCP 서버 시작
`kubescape completion`	셸 완성 스크립트 생성
`kubescape version`	버전 정보 표시

📖 사용 예제

스캐닝

실행 중인 클러스터 스캔

# 기본 스캔 (모든 프레임워크)
kubescape scan

# 특정 프레임워크로 스캔
kubescape scan framework nsa
kubescape scan framework mitre
kubescape scan framework cis-v1.23-t1.0.1

# 특정 컨트롤 스캔
kubescape scan control C-0005 -v

파일 및 저장소 스캔

# 로컬 YAML 파일 스캔
kubescape scan /path/to/manifests/

# Helm 차트 스캔
kubescape scan /path/to/helm/chart/

# Git 저장소 스캔
kubescape scan https://github.com/kubescape/kubescape

# Kustomize로 스캔
kubescape scan /path/to/kustomize/directory/

스캔 옵션

# 네임스페이스 포함/제외
kubescape scan --include-namespaces production,staging
kubescape scan --exclude-namespaces kube-system,kube-public

# 대체 kubeconfig 사용
kubescape scan --kubeconfig /path/to/kubeconfig

# 규정 준수 임계값 설정 (임계값 미만이면 종료 코드 1).
# 점수 임계값은 프레임워크/컨트롤 하위 명령어와
# --view resource|control에 적용됩니다.
kubescape scan framework nsa --compliance-threshold 80
kubescape scan --view resource --compliance-threshold 80

# 심각도 임계값 설정
kubescape scan --severity-threshold high

출력 형식

# JSON 출력
kubescape scan --format json --output results.json

# JUnit XML (CI/CD용)
kubescape scan --format junit --output results.xml

# SARIF (GitHub 코드 스캐닝용)
kubescape scan --format sarif --output results.sarif

# HTML 보고서
kubescape scan --format html --output report.html

# PDF 보고서
kubescape scan --format pdf --output report.pdf

이미지 스캐닝

# 공용 이미지 스캔
kubescape scan image nginx:1.21

# 자세한 출력으로 스캔
kubescape scan image nginx:1.21 -v

# 프라이빗 레지스트리 이미지 스캔
kubescape scan image myregistry/myimage:tag --username user --password pass

오프라인 Grype 데이터베이스 사용

# 오프라인 Grype-DB 서버 시작 (docker 사용)
docker run --rm -p8080:8080 quay.io/kubescape/grype-offline-db:v6-latest

kubescape v4.0.12