CIS Kubernetes Benchmark

cloud

Définition

Le CIS (Center for Internet Security) Kubernetes Benchmark est un ensemble de recommandations de configuration de sécurité pour les clusters Kubernetes, développé par des experts en sécurité de la communauté CIS. Il constitue une référence de facto pour le durcissement (hardening) des clusters Kubernetes, utilisé par les outils d'audit (kube-bench, Kubescape) et les équipes sécurité pour évaluer la posture de sécurité de leurs clusters. Le CIS Kubernetes Benchmark est organisé en sections correspondant aux composants Kubernetes : composants du plan de contrôle (kube-apiserver, etcd, kube-controller-manager, kube-scheduler), fichiers de configuration du nœud de contrôle (fichiers de pod manifests), composants des nœuds worker (kubelet, kube-proxy), et politiques (RBAC, Network Policies, Pod Security Standards, secrets management). Chaque contrôle du benchmark est classifié selon son impact potentiel et sa facilité d'implémentation, et noté comme Automated (vérifiable automatiquement par des outils) ou Manual (nécessitant une vérification humaine). Les paramètres de configuration recommandés incluent : anonymous-auth=false pour l'API server, eventRecordQPS non nul pour la journalisation des events, audit-log activé avec politique d'audit configurée, kubeconfig bien protégé avec permissions 600, etcd avec chiffrement activé. kube-bench est l'outil open source de référence pour exécuter le CIS Kubernetes Benchmark contre un cluster. Il s'exécute comme un pod temporaire sur les nœuds et vérifie automatiquement les contrôles automated du benchmark, produisant un rapport détaillé avec le statut PASS/FAIL/WARN pour chaque contrôle et les commandes de remédiation. Les clusters Kubernetes managés (EKS, AKS, GKE) implémentent déjà certains contrôles au niveau du plan de contrôle (géré par le cloud provider). Les benchmarks spécifiques aux clusters managés (CIS Amazon EKS Benchmark, CIS Azure AKS Benchmark, CIS Google GKE Benchmark) tiennent compte de ces différences et se concentrent sur les contrôles applicables côté client.

Exécution de kube-bench

Exécutez kube-bench dans votre cluster : kubectl apply -f https://raw.githubusercontent.com/aquasecurity/kube-bench/main/job.yaml && kubectl logs job.kube-bench. Sur EKS/AKS/GKE, utilisez les profils spécifiques (kube-bench --benchmark eks, aks, gke). Pour les nœuds workers : exécutez kube-bench en tant que DaemonSet. Les findings FAIL sont à remédier en priorité ; les WARN nécessitent une évaluation du risque selon votre contexte.

Contrôles CIS prioritaires

Contrôles à implémenter en priorité : activation des audit logs de l'API server avec une politique capturant les opérations sensibles (Secrets, ClusterRoleBindings), chiffrement des données etcd at-rest (EncryptionConfiguration), désactivation de l'authentification anonyme (anonymous-auth=false), restriction des service accounts par défaut (automountServiceAccountToken: false), et activation du PodSecurity Admission Controller avec profil Restricted.

Kubescape pour l'audit continu

Kubescape (ARMO) implémente le CIS Kubernetes Benchmark, NSA/CISA Kubernetes Hardening Guide, et MITRE ATT&CK for Kubernetes dans un outil CLI et Kubernetes Operator. En mode Operator, il évalue continuellement la conformité de tous les workloads et génère des ClusterComplianceReports accessibles via kubectl. Intégrez Kubescape dans votre pipeline CI/CD pour bloquer les déploiements non conformes.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis