搜索

[15723] 2020-08-13_Kube-Bench：一款针对Kubernete的安全检测工具

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-08-13_Kube-Bench：一款针对Kubernete的安全检测工具 K u b e - B e n c h ： 一 款 针 对 K u b e r n e t e 的 安 全 检 测 工 具 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 8 - 1 3 工 具 介 绍 工 具 介 绍 K u b e - B e n c h 是 一 款 针 对 K u b e r n e t e 的 安 全 检 测 工 具 ， 从 本 质 上 来 说 ， K u b e - B e n c h 是 一 个 基 于 G o 开 发 的 应 用 程 序 ， 它 可 以 帮 助 研 究 人 员 对 部 署 的 K u b e r n e t e 进 行 安 全 检 测 ， 安 全 检 测 原 则 遵 循 C I S K u b e r n e t e s   B e n c h m a r k 。 测 试 规 则 需 要 通 过 Y A M L 文 件 进 行 配 置 ， 因 此 我 们 可 以 轻 松 更 新 该 工 具 的 测 试 规 则 。 注 意 事 项 注 意 事 项 K u b e - B e n c h 尽 可 能 地 实 现 了 C I S   K u b e r n e t e s   B e n c h m a r k ， 如 果 k u b e   b e n c h 没 有 正 确 执 行 安 全 基 准 测 试 ， 请 点 击 【 h t t p s : / / w w w . c i s e c u r i t y . o r g / 】 提 交 问 题 。 K u b e r n e t e 版 本 和 C I S 基 准 测 试 版 本 之 间 没 有 一 对 一 的 映 射 。 请 参 阅 C I S K u b e r n e t e s 基 准 测 试 支 持 ， 以 查 看 基 准 测 试 的 不 同 版 本 包 含 哪 些 K u b e r n e t e s 版 本 。 K u b e - B e n c h 无 法 检 查 受 管 集 群 的 主 节 点 ， 例 如 G K E 、 E K S 和 A K S ， 因 为 K u b e - B e n c h 不 能 访 问 这 些 节 点 。 不 过 ， K u b e - B e n c h 在 这 些 环 境 中 仍 然 可 以 检 查 w o r k e r 节 点 配 置 。 C I S   K u b e r n e t e s   B e n c h m a r k 支 持 支 持 K u b e - B e n c h 支 持 的 K u b e r n e t e 测 试 规 则 定 义 在 C I S   K u b e r n e t e s   B e n c h m a r k 之 中 ： C I S   K u b e r n e t e s   B e n c h m a r k k u b e - b e n c h 配 置 配 置 K u b e r n e t e s 版 本 版 本 1 . 3 . 0 c i s - 1 . 3 1 . 1 1 - 1 . 1 2 1 . 4 . 1 c i s - 1 . 4 1 . 1 3 - 1 . 1 4 1 . 5 . 0 c i s - 1 . 5 1 . 1 5 - G K E   1 . 0 . 0 g k e - 1 . 0 G K E E K S   1 . 0 . 0 e k s - 1 . 0 E K S R e d   H a t   O p e n S h i f t   h a r d e n i n g   g u i d e r h - 0 . 7 O C P   3 . 1 0 - 3 . 1 1 默 认 配 置 下 ， K u b e - B e n c h 将 根 据 目 标 设 备 上 运 行 的 K u b e r n e t e 版 本 来 确 定 要 运 行 的 测 试 集 ， 但 请 注 意 ， K u b e - B e n c h 不 会 自 动 检 测 O p e n S h i f t 和 G K E 。 工 具 下 载 工 具 下 载
广 大 研 究 人 员 可 以 直 接 使 用 下 列 命 令 将 项 目 源 码 客 隆 至 本 地 ： 可 以 选 择 在 容 器 中 运 行 K u b e - B e n c h （ 跟 主 机 共 享 P I D 命 名 空 间 ） ； 在 主 机 中 运 行 安 装 了 K u b e - B e n c h 的 容 器 ， 然 后 直 接 在 主 机 中 运 行 K u b e - B e n c h ； 访 问 项 目 R e l e a s e s 页 面 下 载 并 安 装 最 新 版 本 的 源 码 ， 别 忘 了 下 载 配 置 文 件 以 及 c f g 目 录 下 的 测 试 文 件 ； 从 源 码 编 译 ； 工 具 安 装 工 具 安 装 在 容 器 中 安 装 在 容 器 中 安 装 下 列 命 令 将 帮 助 我 们 在 D o c k e r 容 器 中 安 装 K u b e - B e n c h 源 码 以 及 配 置 文 件 （ 源 码 编 译 仅 针 对 L i n u x   x 8 6 - x 6 4 ， 无 法 在 m a c O S 或 W i n d o w s 上 运 行 ） ： 源 码 安 装 源 码 安 装 首 先 在 设 备 上 安 装 并 配 置 好 G o 环 境 ， 然 后 运 行 下 列 命 令 即 可 ： 在 容 器 中 运 行 在 容 器 中 运 行 你 可 以 直 接 通 过 主 机 P I D 命 名 空 间 来 在 一 个 容 器 中 安 装 并 运 行 K u b e - B e n c h ， 并 加 载 配 置 文 件 所 在 目 录 ， 比 如 说 “ / e t c ” 或 “ / v a r ” ： 如 果 你 不 想 使 用 “ / o p t / k u b e - b e n c h / c f g / ” 下 的 默 认 配 置 ， 你 还 可 以 通 过 加 载 自 定 义 的 配 置 文 件 来 使 用 它 们 ： 运 行 运 行 K u b e - B e n c h 如 果 你 想 直 接 通 过 命 令 行 工 具 运 行 K u b e - B e n c h ， 你 还 需 要 r o o t / s u d o 权 限 来 访 问 所 有 的 配 置 文 件 。 K u b e - B e n c h 将 会 根 据 检 测 到 的 节 点 类 型 以 及 K u b e r n e t e 运 行 的 集 群 版 本 来 自 动 选 择 使 用 哪 一 个 “ c o n t r o l s ” 。 这 种 行 为 可 以 通 过 定 义 m a s t e r 或 n o d e 子 命 令 以 及 “ — v e r s i o n ” 命 令 行 参 数 来 进 行 修 改 。 K u b e - B e n c h 版 本 还 可 以 通 过 “ K U B E _ B E N C H _ V E R S I O N ” 环 境 变 量 来 设 置 ， “ — v e r s i o n ” 参 数 将 优 先 于 “ K U B E _ B E N C H _ V E R S I O N ” 环 境 变 量 生 效 。 比 如 说 ， 我 们 可 以 使 用 K u b e - B e n c h 对 一 个 m a s t e r 执 行 版 本 自 动 检 测 ： 或 者 ， 使 用 K u b e - B e n c h 针 对 K u b e r n e t e   v 1 . 1 3 执 行 w o r k e r 节 点 测 试 ： k u b e - b e n c h 将 会 根 据 对 应 的 C I S   B e n c h m a r k 版 本 来 映 射 “ — v e r s i o n ” 。 不 如 说 ， 如 果 你 指 定 的 是 “ — v e r s i o n   1 . 1 3 ” ， 此 时 映 射 的 C I S   B e n c h m a r k 版 本 为 “ c i s - 1 . 1 4 ” 。 或 者 说 ， 你 还 可 以 指 定 “ — b e n c h m a r k ” 来 运 行 指 定 的 C I S   B e n c h m a r k 版 本 ： 如 果 你 想 要 指 定 C I S   B e n c h m a r k 的 t a r g e t ， 比 如 说 m a s t e r 、 n o d e 、 e t c d 等 ， 你 可 以 运 行 “ r u n   — t a r g e t s ” 子 命 令 ： 或 下 表 中 显 示 的 是 不 同 C I S   B e n c h m a r k 版 本 对 应 的 有 效 目 标 ： C I S   B e n c h m a r k T a r g e t s c i s - 1 . 3 m a s t e r ,   n o d e c i s - 1 . 4 m a s t e r ,   n o d e c i s - 1 . 5 m a s t e r ,   c o n t r o l p l a n e ,   n o d e ,   e t c d ,   p o l i c i e s g k e - 1 . 0 m a s t e r ,   c o n t r o l p l a n e ,   n o d e ,   e t c d ,   p o l i c i e s ,   m a n a g e d s e r v i c e s e k s - 1 . 0 n o d e ,   p o l i c i e s ,   m a n a g e d s e r v i c e s g i t   c l o n e   h t t p s : / / g i t h u b . c o m / a q u a s e c u r i t y / k u b e - b e n c h . g i t d o c k e r   r u n   - - r m   - v   ` p w d ` : / h o s t   a q u a s e c / k u b e - b e n c h : l a t e s t   i n s t a l l . / k u b e - b e n c h   [ m a s t e r | n o d e ] g o   g e t   g i t h u b . c o m / a q u a s e c u r i t y / k u b e - b e n c h c d   $ G O P A T H / s r c / g i t h u b . c o m / a q u a s e c u r i t y / k u b e - b e n c h g o   b u i l d   - o   k u b e - b e n c h   . #   S e e   a l l   s u p p o r t e d   o p t i o n s . / k u b e - b e n c h   - - h e l p #   R u n   a l l   c h e c k s . / k u b e - b e n c h d o c k e r   r u n   - - p i d = h o s t   - v   / e t c : / e t c : r o   - v   / v a r : / v a r : r o   - t   a q u a s e c / k u b e - b e n c h : l a t e s t   [ m a s t e r | n o d e ]   - - v e r s i o n   1 . 1 3 d o c k e r   r u n   - - p i d = h o s t   - v   / e t c : / e t c : r o   - v   / v a r : / v a r : r o   - t   - v   p a t h / t o / m y - c o n f i g . y a m l : / o p t / k u b e - b e n c h / c f g / c o n f i g . y a m   - v   $ ( w h i c h   k u b e c t l ) : / u s r / l o c a l / m o u n t - f r o m - h o s t / b i n / k u b e c t l   - v   ~ k u b e - b e n c h   m a s t e r k u b e - b e n c h   n o d e   - - v e r s i o n   1 . 1 3 k u b e - b e n c h   n o d e   - - b e n c h m a r k   c i s - 1 . 4 k u b e - b e n c h   - - b e n c h m a r k   c i s - 1 . 4   r u n   - - t a r g e t s   m a s t e r , n o d e k u b e - b e n c h   - - b e n c h m a r k   c i s - 1 . 5   r u n   - - t a r g e t s   m a s t e r , n o d e , e t c d , p o l i c i e s
如 果 不 指 定 目 标 ， 那 么 K u b e - B e n c h 将 会 根 据 C I S   B e n c h m a r k 版 本 自 动 检 测 合 适 的 目 标 。 不 同 C I S   B e n c h m a r k 版 本 的 “ c o n t r o l s ” 可 以 在 “ c f g / ” 目 录 下 找 到 对 应 的 名 称 ， 比 如 说 “ c f g / c i s - 1 . 4 ” 。 项 目 地 址 项 目 地 址 K u b e - B e n c h ： h t t p s : / / g i t h u b . c o m / a q u a s e c u r i t y / k u b e - b e n c h 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理