Benchmarking Kubernetes com kube-bench

Visão Geral

kube-bench (da Aqua Security) é uma ferramenta de código aberto que verifica se um cluster Kubernetes está implantado de forma segura, executando as verificações documentadas no CIS Kubernetes Benchmark. Ele inspeciona os componentes do plano de controle (servidor de API, gerenciador de controle, agendador, etcd), a configuração do kubelet e do nó de trabalho, e as configurações de política em todo o cluster, e então relata cada verificação como PASS, FAIL, WARN ou INFO com uma recomendação de remediação extraída diretamente da orientação do CIS. Os testes são arquivos YAML orientados por configuração, portanto, o kube-bench acompanha novas versões do Kubernetes e revisões de benchmark e suporta distribuições gerenciadas (EKS, GKE, AKS, ACK, OpenShift, RKE, k3s).

O fortalecimento de um cluster contra o CIS Benchmark reduz diretamente a superfície de ataque para T1610 (Deploy Container), onde um adversário implanta um contêiner para executar código ou evadir defesas — por exemplo, abusando de contêineres privilegiados, namespaces de host, acesso anônimo à API ou configurações inseguras do kubelet que um cluster não fortalecido deixa exposto.

O kube-bench pode ser executado como um binário autônomo em um nó, dentro de um contêiner ou — mais comumente — como um Job do Kubernetes cujo pod tem o sistema de arquivos do host montado para que possa ler os arquivos de configuração relevantes. A saída está disponível como texto legível por humanos, JSON, JUnit ou AWS Security Finding Format (ASFF) e pode ser enviada para um banco de dados PostgreSQL para acompanhamento de tendências.

Quando Usar

• Ao estabelecer uma linha de base de segurança para um novo cluster Kubernetes contra o CIS Kubernetes Benchmark.
• Ao realizar auditorias de conformidade periódicas do fortalecimento do plano de controle e dos nós.
• Ao validar a remediação após aplicar alterações de fortalecimento (reexecutar para confirmar que as verificações agora PASSAM).
• Ao integrar a verificação de conformidade do cluster em um pipeline de CI/CD ou monitoramento contínuo.
• Ao preparar evidências para SOC 2, PCI DSS ou conformidade interna de fortalecimento.

Pré-requisitos

• Acesso ao cluster: acesso SSH a um nó de plano de controle/trabalho (modo binário) ou kubectl com permissão para criar Jobs (modo in-cluster).
• Conhecimento da versão do Kubernetes do cluster (kube-bench detecta automaticamente, ou especifique com --version / --benchmark).
• Instalar kube-bench (métodos oficiais da Aqua Security):

# Binary release (Linux)
KB_VERSION=0.10.7
curl -L -o kube-bench.tgz \
  "https://github.com/aquasecurity/kube-bench/releases/download/v${KB_VERSION}/kube-bench_${KB_VERSION}_linux_amd64.tar.gz"
tar -xzf kube-bench.tgz
sudo mv kube-bench /usr/local/bin/
sudo cp -R cfg /etc/kube-bench/cfg

# Via Go install
go install github.com/aquasecurity/kube-bench@latest

# Run as a one-off container directly on a node (mounts host config)
docker run --rm --pid=host \
  -v /etc:/etc:ro -v /var:/var:ro \
  -t docker.io/aquasec/kube-bench:latest run --targets node

# Verify
kube-bench version

Objetivos

• Executar o kube-bench contra o benchmark apropriado para a versão do Kubernetes do cluster.
• Escanear o plano de controle (master), nó, etcd, políticas do plano de controle e alvos de serviço gerenciado.
• Produzir saída JSON/JUnit legível por máquina para pipelines e dashboards.
• Triar resultados FAIL e WARN e aplicar a orientação de remediação do CIS.
• Reexecutar para validar que as remediações agora PASSAM.

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

1. Executar a verificação padrão (detecção automática)

Execute todos os alvos aplicáveis, permitindo que o kube-bench detecte a versão do Kubernetes e o benchmark:

sudo kube-bench

2. Executar como um Job do Kubernetes (in-cluster)

Aplique o manifesto do Job fornecido do repositório kube-bench e leia os resultados nos logs do pod:

# General-purpose job
kubectl apply -f https://raw.githubusercontent.com/aquasecurity/kube-bench/main/job.yaml

# Wait, then retrieve results
kubectl get pods -l app=kube-bench
kubectl logs -l app=kube-bench

# Platform-specific jobs are available, e.g. EKS:
kubectl apply -f https://raw.githubusercontent.com/aquasecurity/kube-bench/main/job-eks.yaml

3. Alvo de componentes específicos

Use run --targets para limitar a verificação a grupos de componentes específicos:

# Plano de controle (servidor de API, agendador, gerenciador de controle)

…