Kubernetes Security

general

Définition

La sécurité Kubernetes (Kubernetes Security ou K8s Security) est l'ensemble des pratiques et contrôles visant à sécuriser les clusters Kubernetes — la plateforme d'orchestration de containers devenue le standard de facto pour les applications cloud-native. Un cluster Kubernetes mal sécurisé peut exposer toute l'infrastructure cloud d'une organisation à une compromission totale. Les clusters Kubernetes introduisent une surface d'attaque complexe. Le plan de contrôle (Control Plane) est critique : l'API Server est le point d'entrée de toutes les opérations Kubernetes — un accès non autorisé à l'API Server donne un contrôle total sur le cluster. L'etcd (base de données de configuration du cluster) contient tous les secrets Kubernetes en clair ou base64 — sa compromission expose tous les credentials. Le kubelet (agent sur chaque nœud) peut être exploité pour accéder aux containers et aux données des nœuds. Les menaces spécifiques à Kubernetes incluent : l'évasion de container (exploiter une vulnérabilité du runtime container pour sortir du container et accéder au nœud hôte), la compromission de la supply chain (images malveillantes depuis des registres publics non vérifiés), le vol de secrets Kubernetes (accès aux Kubernetes Secrets qui stockent les credentials — trop souvent en clair dans etcd sans chiffrement at-rest), les mauvaises configurations RBAC (Service Accounts avec des permissions excessives), et les métadonnées cloud (instance metadata service accessible depuis les pods et pouvant révéler des credentials IAM cloud). Les contrôles de sécurité Kubernetes recommandés incluent : RBAC restrictif (principe du moindre privilège pour tous les Service Accounts), chiffrement des secrets at-rest dans etcd, Network Policies (isolation réseau entre les pods — deny-all par défaut, autoriser uniquement les flux nécessaires), Pod Security Admission (politiques de sécurité des pods — interdire les pods root, les conteneurs privileged), et scan d'images (vérifier les CVEs avant déploiement).

NSA/CISA Kubernetes Hardening Guide

La NSA et la CISA ont publié un guide de hardening Kubernetes (August 2022) qui est devenu la référence pour la sécurisation des clusters. Les recommandations principales : mettre à jour Kubernetes régulièrement (les vulnérabilités Kubernetes sont exploitées activement), utiliser les dernières versions des container runtimes (containerd, CRI-O), activer l'audit logging de l'API Server (pour tracer toutes les opérations), chiffrer etcd (secrets Kubernetes chiffrés dans etcd via EncryptionConfiguration), utiliser TLS pour toutes les communications inter-composants, désactiver les ports d'écoute non nécessaires sur les nœuds, implémenter les Network Policies (par défaut Kubernetes n'isole pas les pods — tout pod peut communiquer avec tout autre pod), et scanner régulièrement la configuration avec des outils comme kube-bench (CIS Kubernetes Benchmark), Trivy (CVE scan), et Polaris (best practices validation).

Falco — Runtime Security pour Kubernetes

Falco est un outil de runtime security open-source (CNCF project) qui détecte les comportements suspects dans les containers et les pods Kubernetes en temps réel. Falco analyse les system calls (appels système Linux) des containers via eBPF ou un module kernel et génère des alertes quand un comportement anormal est observé. Exemples de règles Falco : alerte si un shell (bash, sh) est exécuté dans un container (suspect dans un container de production), alerte si un processus dans un container écrit dans un répertoire système (/etc, /bin — possible tentative de persistance), alerte si un container utilise des capabilities Linux élevées non déclarées dans sa définition, et alerte si une connexion réseau est établie depuis un container vers une IP externe inhabituelle. Falco s'intègre avec SIEM (via les logs JSON), Slack, PagerDuty pour les notifications. Sysdig Secure est la version commerciale de Falco avec des fonctionnalités supplémentaires de compliance et forensics.

Image Security — scan et signature

La sécurité des images Docker est fondamentale dans la supply chain Kubernetes. Les images doivent être scannées pour les CVEs avant déploiement : Trivy (open-source, Aqua Security — scan d'images, filesystems, et repos git), Snyk Container, Clair (open-source, Quay.io), et les solutions natives des registres (Amazon ECR Enhanced Scanning, Google Artifact Registry). Le scan doit être intégré dans le pipeline CI/CD — bloquer le déploiement si des CVEs critiques non patchés sont détectés dans l'image. La signature des images garantit leur intégrité : Cosign (Sigstore project — signature des images avec des clés ECDSA ou Keyless via OIDC) permet de vérifier que les images déployées sont exactement celles buildées par le pipeline CI/CD (pas d'altération en transit ou dans le registre). L'Admission Controller connaissant les politiques de signature (Kyverno, OPA Gatekeeper) peut bloquer le déploiement d'images non signées ou provenant de registres non approuvés.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis