kubescape

Définition

Kubescape est une plateforme open source de sécurité Kubernetes développée par ARMO, permettant d'auditer la posture de sécurité des clusters Kubernetes et des manifests d'applications selon plusieurs frameworks de référence : CIS Kubernetes Benchmark, NSA/CISA Kubernetes Hardening Guidance, MITRE ATT&CK for Containers, SOC 2, et les bonnes pratiques Kubernetes. Il peut s'utiliser en CLI, comme Admission Controller, ou comme Operator in-cluster. Kubescape analyse deux types de ressources : les clusters Kubernetes actifs (via l'API Kubernetes) et les fichiers de configuration statiques (YAML Kubernetes, Helm charts, Kustomize). En mode cluster, il évalue tous les workloads déployés et génère un score de risque par namespace, par workload, et par contrôle de sécurité. En mode fichiers (shift-left), il valide les manifests avant déploiement dans la CI/CD. Les frameworks supportés par Kubescape couvrent des aspects variés : RBAC (permissions excessives des ServiceAccounts, ClusterRoleBindings trop larges), réseau (absence de NetworkPolicies, pods exposant des ports hostNetwork), workload security (conteneurs root, capabilities excessives, images non signées), secrets management (secrets en variable d'environnement, montage du token par défaut), et supply chain security (images de registres non approuvés). Kubescape génère des scores de risque exploitables (score de 0 à 100) avec des recommandations de remédiation concrètes pour chaque finding. Les rapports peuvent être exportés en format HTML, JSON, ou JUnit (pour l'intégration CI/CD). En mode Operator, les résultats sont disponibles comme ressources Kubernetes natives (ConfigurationScanSummary, WorkloadScanSummary) interrogeables via kubectl. L'intégration de Kubescape dans GitHub Actions, GitLab CI et Jenkins est documentée et permet de bloquer automatiquement les pull requests introduisant de nouvelles vulnérabilités de configuration Kubernetes.