Octarine为Kubernetes发布开源安全扫描工具

有助于自动化Kubernetes工作负载安全性的初创公司Octarine今天发布了开源扫描工具。该工具称为Kube-scan，旨在帮助开发人员了解其Kubernetes集群中的安全风险级别。

该公司还开放了另一个名为The Kubernetes Common Configuration Scoring System的工具，简称为KCCSS，该工具是Kube-scan中使用的基础配置框架。

正如Ocatrine产品负责人Julien Sobrier指出的那样，Kubernetes中有30种安全设置，而Kube-scan可以帮助您查看其中任何一种的脆弱性，范围为0-10，其中10是最脆弱的。

Kubernetes为开发人员提供了很大的灵活性和强大的功能。 Sobrier告诉TechCrunch，目前有30多种安全设置，并了解它们之间的交互方式，哪些设置会使安全性变得更差，哪些变得更好，并且每个选择的影响都不容易衡量或解释。

Octarine希望为这两个开源工具提供帮助。它从构建KCCSS开始，这是一个基于行业标准通用漏洞评分系统（CVSS）的漏洞模型，旨在为Kube-scan提供风险评估框架。

“我们采用了这种CVSS模型，并将其应用于Kubernetes。这有助于向用户说明哪些安全设置引起了风险？从群集的可用性，群集的完整性和群集的机密性来看，对工作负载造成的危险是什么，” Sobrier解释说。这为开发人员和运营人员提供了一个通用的系统，以了解群集的安全状况，并使他们更容易决定风险是否可以接受。

然后，他们采用了KCCSS框架并构建了Kube-scan。这将采用KCCSS中定义的设置并应用分数，该分数可衡量您在其上运行的Kubernetes集群中每个设置的风险等级。 “ Kube-scan基本上是KCCSS框架的实现。因此，它将是一种软件，一个容器，它将在您的群集上运行，并向您显示所有[设置]的风险，范围从零（无风险）到10（高度风险），然后为您提供有关等级的所有详细信息是的，以及您可以采取的补救措施，”他说。

虽然它显然可以与Octarine自己的安全工具配合使用，但商业化副总裁Rafael Feitelberg表示，该项目更多地是在帮助公司了解其Kubernetes集群风险水平，并为他们提供解决所发现问题的信息。他说：“通过调整Kubernetes的配置，可以对很多事情进行补救，您可以明确看到如何解决Kube-scan中的（问题）。”

Feitelberg说Octarine是独立的东西，旨在帮助您自动执行安全设置。他说：“我们的商业产品更多地是关于流程的自动化，并且要连续不断地进行，因此它是您的CI/CD（管道）和DevOps流程的一部分。”

两种开源工具今天都可以在GitHub上使用。