Certified Kubernetes Security Specialist (préparation à la certification CKS)

Utiliser les politiques de sécurité du réseau pour restreindre l’accès au niveau du cluster
Utiliser le benchmark CIS pour examiner la configuration de sécurité des composants Kubernetes (etcd, kubelet, kubedns, kubeapi)
Configurer correctement les objets Ingress avec un contrôle de sécurité
Protéger les métadonnées des nœuds et les endpoints
Minimiser l’utilisation et l’accès aux éléments de l’interface graphique
Vérifier les binaries de la plateforme avant de les déployer

Restreindre l’accès à l’API de Kubernetes
Utiliser des contrôles d’accès basés sur les rôles pour minimiser l’exposition
Faire preuve de prudence dans l’utilisation des comptes de service, par exemple en désactivant les valeurs par défaut, en minimisant les autorisations sur les comptes nouvellement créés
Mettre à jour Kubernetes fréquemment

Minimiser l’empreinte du système d’exploitation hôte (réduire la surface d’attaque)
Minimiser les rôles IAM
Minimiser l’accès externe au réseau
Utiliser de manière appropriée les outils de durcissement du noyau tels que AppArmor, seccomp

Configurer des domaines de sécurité appropriés au niveau du système d’exploitation
Gérer les secrets Kubernetes
Utiliser des bacs à sable d’exécution de conteneurs dans les environnements multi-tenants (par exemple, gvisor, conteneurs kata).
Mettre en œuvre le chiffrement de pod à pod par l’utilisation de mTLS

Minimiser l’empreinte de l’image de base
Sécurisez votre chaîne d’approvisionnement : établissez une liste blanche des registres autorisés, signez et validez les images.
Utilisez l’analyse statique des charges de travail des utilisateurs (par exemple, ressources Kubernetes, fichiers Docker).
Analyser les images pour détecter les vulnérabilités connues

Effectuer des analyses des processus syscall et des activités de fichiers au niveau de l’hôte et du conteneur pour détecter les activités malveillantes.
Détecter les menaces au sein de l’infrastructure physique, des applications, des réseaux, des données, des utilisateurs et des charges de travail.
Détecter toutes les phases de l’attaque, indépendamment de l’endroit où elle se produit et de la manière dont elle se propage.
Effectuer des recherches analytiques approfondies et identifier les mauvais acteurs au sein de l’environnement.
Garantir l’immuabilité des conteneurs au moment de l’exécution.
Utiliser les journaux d’audit pour surveiller l’accès.