Audit Kubernetes & Conteneurs

Sécurisation de vos clusters Kubernetes, images Docker et pipelines CI/CD selon le CIS Kubernetes Benchmark et les meilleures pratiques CNCF.

Demander un devis gratuit Voir la méthodologie

CIS Kubernetes Benchmark

Évaluation complète selon le CIS Kubernetes Benchmark v1.9 : API server, etcd, scheduler, controller manager, worker nodes et politiques réseau.

Scan CVE des Images

Analyse Trivy et Grype de toutes vos images Docker : vulnérabilités CVE, secrets exposés, packages obsolètes et configurations non sécurisées dans les Dockerfiles.

RBAC & Secrets Management

Revue exhaustive du RBAC (ClusterRoles, RoleBindings), détection des permissions excessives, audit des Secrets Kubernetes et intégration HashiCorp Vault ou Sealed Secrets.

Périmètre d'Audit

Cluster Kubernetes

▸ Configuration API Server (flags de sécurité, TLS, audit logs)
▸ RBAC : ClusterRoles, Roles, ServiceAccounts, bindings
▸ Pod Security Standards (Privileged, Baseline, Restricted)
▸ Network Policies : isolation namespaces, egress/ingress
▸ Secrets Kubernetes : chiffrement at-rest, rotation, accès
▸ Admission Controllers : OPA/Gatekeeper, Kyverno
▸ etcd : chiffrement, accès TLS mutuel, backup sécurisé

Images & Supply Chain

▸ Scan CVE images (Trivy, Grype) et registre privé
▸ Analyse Dockerfiles : user non-root, layers, multi-stage
▸ Revue pipelines CI/CD (GitHub Actions, GitLab CI, Jenkins)
▸ Helm charts : valeurs par défaut, RBAC généré, templates
▸ Runtime security : Falco rules, profils seccomp/AppArmor
▸ Signataire d'images : Cosign, Notary v2
▸ SBOM (Software Bill of Materials) et dépendances transitives

Notre Méthodologie

Inventaire des Workloads

Cartographie complète : namespaces, Deployments, StatefulSets, DaemonSets, Jobs, Ingress et Services exposés en interne et externe.

Analyse RBAC

Extraction et analyse de tous les bindings RBAC, identification des permissions wildcard (*), accès cluster-admin non justifiés et ServiceAccounts trop permissifs.

Scan des Images

Scan Trivy de toutes les images en production et dans le registre, classification CVE par sévérité (Critical/High/Medium), détection de secrets hardcodés.

Tests Runtime

Vérification des profils seccomp, AppArmor et SELinux. Tests d'évasion de conteneur (privileged pods, hostPID, hostNetwork, montages dangereux).

Revue Réseau

Analyse des Network Policies existantes, tests de connectivité inter-pods, vérification de l'isolation namespaces et sécurité du CNI (Calico, Cilium, Weave).

Rapport & Runbook

Rapport CIS Benchmark avec score, liste CVE priorisée, fichiers YAML de configuration corrigés et runbook de hardening step-by-step pour vos équipes DevOps.

Outils & Standards Utilisés

Outils d'Audit & Scan

Trivy Grype kube-bench kube-hunter Falco Checkov Polaris KubeAudit Gitleaks Syft (SBOM)

Référentiels

CIS Kubernetes Benchmark v1.9 CIS Docker Benchmark NIST SP 800-190 CNCF Security Whitepaper OWASP Docker Top 10

Questions Fréquentes

Non, nous travaillons avec un compte en lecture seule disposant des verbes get, list, watch sur toutes les ressources. Nous fournissons un manifest YAML définissant précisément le ClusterRole et le ServiceAccount temporaire à créer. Pour les tests runtime avec kube-hunter, un accès réseau au cluster suffit dans la plupart des cas.

Oui. Pour les clusters managés, nous adaptons l'audit aux composants accessibles (le control plane étant géré par le cloud provider). Nous auditons en plus la couche cloud : IAM roles EKS node groups, Azure RBAC pour AKS, Workload Identity GKE, ainsi que les add-ons et configurations spécifiques à chaque provider.

Oui, c'est l'un de nos points forts. Pour chaque finding critique ou élevé, nous fournissons le fichier YAML corrigé prêt à appliquer, ainsi qu'un runbook détaillé expliquant la modification, son impact et la procédure de déploiement sans interruption de service. Cela accélère considérablement le temps de remédiation de vos équipes.

Prêt à sécuriser vos clusters Kubernetes ?

Contactez-nous pour un audit initial gratuit de 30 minutes et découvrez le niveau de sécurité réel de vos workloads conteneurisés.

Planifier un appel →