搜索

[15809] 2020-09-04_Kubei：一款针对Kubernetes集群的实时安全扫描工具

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-09-04_Kubei：一款针对Kubernetes集群的实时安全扫描工具 K u b e i ： 一 款 针 对 K u b e r n e t e s 集 群 的 实 时 安 全 扫 描 工 具 原 创   A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 9 - 0 4 K u b e i K u b e i 是 一 款 针 对 K u b e r n e t e s 集 群 的 实 时 安 全 扫 描 工 具 ， 该 工 具 将 允 许 广 大 研 究 人 员 对 正 在 运 行 的 K u b e r n e t e s 集 群 进 行 实 时 扫 描 ， 并 获 取 准 确 及 时 的 安 全 评 估 结 果 。 K u b e i 能 够 扫 描 一 个 K u b e r n e t e s 集 群 中 使 用 的 全 部 镜 像 ， 包 括 应 用 程 序 P o d 和 系 统 P o d 镜 像 。 需 要 注 意 的 是 ， K u b e i 不 会 扫 描 整 个 镜 像 注 册 表 ， 也 不 需 要 跟 C I / C D 管 道 进 行 初 步 集 成 。 K u b e i 是 一 个 易 于 扩 展 且 支 持 自 定 义 配 置 的 工 具 ， 这 将 允 许 研 究 人 员 自 行 定 义 扫 描 的 范 围 、 目 标 命 名 空 间 、 扫 描 速 度 和 感 兴 趣 的 漏 洞 风 险 等 级 。 除 此 之 外 ， K u b e i 还 提 供 了 非 常 友 好 的 图 形 化 用 户 接 口 ， 以 帮 助 研 究 人 员 快 速 查 看 、 识 别 和 发 现 K u b e r n e t e s 集 群 中 潜 在 的 安 全 问 题 。 工 具 要 求 工 具 要 求 已 正 常 运 行 的 K u b e r n e t e s 集 群 ； 目 标 K u b e r n e t e s 集 群 以 存 在 正 确 配 置 的 k u b e c o n f i g （ ~ / . k u b e / c o n f i g ） 文 件 ； 权 限 要 求 权 限 要 求 可 在 集 群 范 围 内 读 取 敏 感 数 据 ， 能 够 扫 描 隐 私 镜 像 库 ； 可 在 集 群 范 围 内 枚 举 P o d ， 能 够 计 算 待 扫 描 的 目 标 P o d 数 量 ； 可 在 集 群 范 围 内 创 建 J o b ， 能 够 创 建 在 目 标 命 名 空 间 内 对 目 标 P o d 进 行 扫 描 的 J o b 作 业 ； 工 具 配 置 工 具 配 置 在 使 用 K u b e i 时 ， 需 要 利 用 d e p l o y / k u b e i . y a m l 来 在 目 标 集 群 中 部 署 和 配 置 K u b e i ： 首 先 ， 我 们 需 要 给 K u b e i 设 置 扫 描 范 围 ， 这 里 可 以 通 过 设 置 “ I G N O R E _ N A M E S P A C E S ” 环 境 变 量 来 忽 略 不 需 要 扫 描 的 命 名 空 间 。 设 置 “ T A R G E T _ N A M E S P A C E ” 环 境 变 量 可 以 指 定 一 个 待 扫 描 的 命 名 空 间 ， 留 空 表 示 扫 描 所 有 的 命 名 空 间 / 接 下 来 ， 我 们 需 要 设 置 K u b e i 的 扫 描 速 度 。 这 里 可 以 使 用 并 行 运 行 扫 描 器 的 方 式 来 加 快 扫 描 速 度 ， 或 者 通 过 “ M A X _ P A R A L L E L I S M ” 环 境 变 量 来 设 置 并 行 扫 描 器 的 最 大 数 量 。
第 三 步 ， 我 们 需 要 设 置 K u b e i 扫 描 的 安 全 严 重 等 级 阈 值 ， 此 时 严 重 性 等 级 高 于 或 等 于 这 个 阈 值 的 所 有 漏 洞 和 安 全 问 题 都 将 被 报 告 给 用 户 。 K u b e i 支 持 的 严 重 性 等 级 分 为 别 未 知 、 可 忽 略 的 、 低 、 中 、 高 和 D e f c o n 1 ， 默 认 为 “ 中 ” 。 最 后 ， 我 们 需 要 设 置 J o b 作 业 的 删 除 策 略 。 这 里 可 以 通 过 设 置 “ D E L E T E _ J O B _ P O L I C Y ” 环 境 变 量 来 定 义 是 否 需 要 删 除 已 完 成 的 扫 描 器 作 业 ， 支 持 的 值 如 下 ： 工 具 使 用 工 具 使 用 我 们 需 要 运 行 下 列 命 令 将 K u b e i 部 署 到 目 标 K u b e r n e t e s 集 群 之 中 ： 接 下 来 ， 执 行 下 列 命 令 来 判 断 K u b e i 是 否 已 正 常 运 行 ： 确 保 K u b e i 已 正 常 运 行 之 后 ， 通 过 执 行 下 列 命 令 将 端 口 数 据 转 发 至 K u b e i   W e b a p p 中 ： 然 后 打 开 W e b 浏 览 器 ， 访 问 “ h t t p : / / l o c a l h o s t : 8 0 8 0 / v i e w / ” ， 然 后 点 击 “ G o ” 来 运 行 扫 描 任 务 。 如 需 检 查 K u b e i 的 运 行 状 态 以 及 正 在 进 行 的 扫 描 进 程 ， 可 以 运 行 下 列 命 令 ： 刷 新 页 面 （ h t t p : / / l o c a l h o s t : 8 0 8 0 / v i e w / ） 即 可 更 新 扫 描 结 果 。 使 用 外 部 使 用 外 部 H T T P / H T T P S 代 理 运 行 代 理 运 行 K u b e i 打 开 d e p l o y / k u b e i . y a m l ， 去 掉 针 对 C l a r i 和 K u b e i 部 署 中 代 理 环 境 变 量 的 相 关 注 释 ， 并 填 写 配 置 信 息 即 可 。 亚 马 逊 亚 马 逊 E C R 支 持 支 持 使 用 “ A m a z o n E C 2 C o n t a i n e r R e g i s t r y F u l l A c c e s s ” 权 限 创 建 一 个 A W S   I A M 用 户 ， 并 使 用 用 户 凭 证 （ A W S _ A C C E S S _ K E Y _ I D 、 A W S _ S E C R E T _ A C C E S S _ K E Y 和 A W S _ D E F A U L T _ R E G I O N ） 来 创 建 下 列 密 钥 ： - A l l ： 所 有 已 完 成 的 作 业 都 将 被 删 除 ； - S u c c e s s f u l ： 只 有 执 行 成 功 的 作 业 才 会 被 删 除 （ 默 认 ） ； - N e v e r ： 任 务 不 会 被 删 除 ； k u b e c t l   a p p l y   - f   h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / P o r t s h i f t / k u b e i / m a s t e r / d e p l o y / k u b e i . y a m l k u b e c t l   - n   k u b e i   g e t   p o d   - l a p p = k u b e i k u b e c t l   - n   k u b e i   p o r t - f o r w a r d   $ ( k u b e c t l   - n   k u b e i   g e t   p o d s   - l a p p = k u b e i   - o   j s o n p a t h = ' { . i t e m s [ 0 ] . m e t a d a t a . n a m e } ' )   8 0 8 0 k u b e c t l   - n   k u b e i   l o g s   $ ( k u b e c t l   - n   k u b e i   g e t   p o d s   - l a p p = k u b e i   - o   j s o n p a t h = ' { . i t e m s [ 0 ] . m e t a d a t a . n a m e } ' ) c a t   < < E O F   |   k u b e c t l   a p p l y   - f   - a p i V e r s i o n :   v 1 k i n d :   S e c r e t m e t a d a t a :     n a m e :   e c r - s a     n a m e s p a c e :   k u b e i t y p e :   O p a q u e d a t a :     A W S _ A C C E S S _ K E Y _ I D :   $ ( e c h o   - n   ' X X X X ' |   b a s e 6 4   - w 0 )
注 意 事 项 ： 首 秀 按 ， 密 钥 名 称 必 须 为 e c r - s a 。 其 次 ， 密 钥 中 的 d a t a 键 值 必 须 设 置 为 A W S _ A C C E S S _ K E Y _ I D 、 A W S _ S E C R E T _ A C C E S S _ K E Y 和 A W S _ D E F A U L T _ R E G I O N 。 G o o g l e   G C R 支 持 支 持 使 用 “ A r t i f a c t   R e g i s t r y   R e a d e r ” 权 限 创 建 一 个 G o o g l e 服 务 账 号 。 使 用 服 务 账 号 的 J S O N 文 件 来 创 建 下 列 密 钥 ： 注 意 事 项 ： 首 先 ， 密 钥 名 必 须 为 g c r - s a 。 其 次 ， s a . j s o n 名 必 须 是 服 务 账 号 J S O N 文 件 的 名 称 。 第 三 ， K u b e i 使 用 的 是 应 用 程 序 默 认 凭 证 。 工 具 限 制 工 具 限 制 支 持 K u b e r n e t e s   I m a g e   M a n i f e s t   V 2 ，   S c h e m a   2 ， 不 支 持 扫 描 更 早 的 版 本 ； C V E 漏 洞 数 据 库 每 日 一 更 ； 项 目 地 址 项 目 地 址 K u b e i ： 【 h t t p s : / / g i t h u b . c o m / P o r t s h i f t / K u b e i 】 精 彩 推 荐 精 彩 推 荐     A W S _ S E C R E T _ A C C E S S _ K E Y :   $ ( e c h o   - n   ' X X X X ' |   b a s e 6 4   - w 0 )     A W S _ D E F A U L T _ R E G I O N :   $ ( e c h o   - n   ' X X X X ' |   b a s e 6 4   - w 0 ) E O F k u b e c t l   - n   k u b e i   c r e a t e   s e c r e t   g e n e r i c   - - f r o m - f i l e = s a . j s o n   g c r - s a
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理