kube-bench

cloud

Définition

kube-bench est un outil open source développé par Aqua Security qui audite automatiquement la configuration d'un cluster Kubernetes au regard du CIS Kubernetes Benchmark, un référentiel de bonnes pratiques publié par le Center for Internet Security. Écrit en Go, il s'exécute en pod ou en DaemonSet sur chaque nœud et vérifie des centaines de contrôles couvrant l'API server (désactivation de l'anonymous-auth, chiffrement etcd au repos, admission controllers comme PodSecurity), le kubelet (authentification, autorisation, protection des ports read-only), le control plane (permissions des fichiers de configuration, certificats TLS) et les politiques RBAC. Chaque test produit un verdict PASS, FAIL, WARN ou INFO avec la remédiation associée, référencée à la section correspondante du benchmark CIS. L'outil couvre les versions gérées (EKS, GKE, AKS) grâce à des profils dédiés qui excluent les contrôles gérés par le cloud provider. Il s'intègre dans les pipelines CI/CD et les scans périodiques de posture, en complément d'outils de CSPM plus larges. Largement utilisé par les équipes SecOps et les pentesters lors d'audits d'infrastructure Kubernetes, kube-bench sert souvent de première étape de durcissement avant un déploiement en production, avant des contrôles plus poussés type kube-hunter pour l'exploitation active des faiblesses détectées.

Description

kube-bench est l'outil open-source de référence (Aqua Security) pour auditer la conformité d'un cluster Kubernetes contre le CIS Kubernetes Benchmark. Il vérifie automatiquement les configurations du kube-apiserver, etcd, kubelet, scheduler, controller-manager et des politiques réseau et de pods.

Contexte cloud

Pour EKS, AKS et GKE, des versions spécifiques du benchmark CIS existent et kube-bench dispose de cibles adaptées. Sur les clusters managés, certains checks concernant le plan de contrôle (géré par le CSP) peuvent être marqués comme not applicable ou réussis automatiquement.

Points clés

Exécution sur EKS : kubectl apply -f https://raw.githubusercontent.com/aquasecurity/kube-bench/main/job-eks.yaml comme Job Kubernetes, récupérer les logs du pod résultant
Checks critiques : kubelet anonymous-auth=false, RBAC activé, PodSecurity admission plugin configuré, etcd chiffrement at-rest activé
Intégration CI/CD : kube-bench --json | jq '[.Controls[].tests[].results[] | select(.status==FAIL and .scored==true)]' pour bloquer les déploiements non conformes

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis