安全扫描

概述 你管着一个 K8s 集群，API Server 的 --anonymous-auth=true 没关，etcd 的证书权限是 644，kubelet 的 --read-only-port=10255 还开着——这些东西单独看每个都是"小问题"，但攻击者拿到其中一个入口，就能一路横向打到整个集群。这不是假设，CNCF 2025 年度调查报告显示，超过 90% 的生产 K8s 集群存在至少一个 CIS Benchmark 级别的配置缺陷。 CIS（Center for Internet Security）Benchmark 是一套业界公认的安全配置基线，K8s 有对应的专门版本。kube-bench 就是用来跑这套基线检查的工具——你把它跑一遍，它告诉你哪些配置不符合安全标准、应该怎么改。 但这只是第一步。光跑出报告不够，你还得知道怎么修、怎么持续监控、怎么把扫描嵌进 CI/CD 流水线里。本文从实际操作出发，覆盖从安装 kube-bench、跑第一次扫描、解读报告、修复常见问题，到配合 Trivy 做镜像漏洞扫描、kube-hunter 做渗透模拟、把安全扫描自动化到 GitOps 流程中的完整路径。 CIS Kubernetes Benchmark 是什么 CIS Benchmark 说白了就是一份"安全配置检查清单"。CIS 这个组织拉了一批安全专家，把某个系统（操作系统、数据库、云平台、K8s 等）应该怎么做才算安全，整理成一份文档，每一条都有明确的检查方法和修复建议。 K8s 的 CIS Benchmark 把检查项分成四个层面： 层面 检查对象 典型检查项 控制平面 API Server、Scheduler、Controller Manager、etcd 是否禁用匿名访问、是否启用 RBAC、etcd 是否启用 TLS 工作节点 kubelet、kube-proxy 是否禁用只读端口、是否启用客户端证书认证 策略 RBAC、PodSecurityPolicy/PSA 是否使用最小权限、是否限制特权容器 托管服务 EKS/GKE/AKS 等 云平台特有的安全配置 每个检查项标注了严重级别：L1 是基本要求，任何环境都该满足；L2 是更严格的要求，适用于安全敏感度高的环境。...