alcide/advisor

Alcide Kubernetes Advisor

!Alcide Advisor

Alcide Advisor是一款无代理的Kubernetes审计与合规服务，旨在通过在开发流程早期及生产前对Kubernetes集群和工作负载进行卫生扫描，确保顺畅且安全的DevSecOps工作流。

核心功能和特性

Alcide Advisor可覆盖以下安全检查：

• Kubernetes基础设施漏洞扫描
• 检测错误放置的密钥或过度的密钥访问权限
• 从Pod安全到网络策略的工作负载强化
• Istio安全配置及最佳实践检查
• Ingress控制器安全最佳实践验证
• Kubernetes API服务器访问权限审计
• Kubernetes operators安全最佳实践检查
• 部署合规性检查（标签、注释、资源限制等）

视频：Alcide Advisor概述

流水线集成

Alcide Kubernetes Advisor与CI/CD流水线的集成示例可在https://github.com/alcideio/pipeline%E4%BB%93%E5%BA%93%E4%B8%AD%E6%89%BE%E5%88%B0%E3%80%82

使用场景示例

检测错误放置的密钥或过度的密钥访问权限

Kubernetes密钥对象用于存储和管理敏感信息（如密码、OAuth令牌、SSH密钥）。将此类信息以明文形式或在非安全位置（如配置映射）存储会导致未授权用户轻易获取，对Kubernetes和云环境构成高风险。

Alcide Advisor扫描Pod环境变量和配置映射中可能错误放置的密钥、API密钥和密码，并验证定义谁可读取密钥对象的RBAC权限。

!Pod环境变量中发现的密钥

Kubernetes漏洞扫描

尽管Kubernetes极大简化了敏感容器环境的编排，但仍无法完全避免需要快速检测和响应的严重安全漏洞。

近期发现的严重漏洞示例：权限提升漏洞https://nvd.nist.gov/vuln/detail/CVE-2018-***%EF%BC%8C%E8%AF%A5%E6%BC%8F%E6%B4%9E%E5%85%81%E8%AE%B8%E7%94%A8%E6%88%B7%E9%80%9A%E8%BF%87%E7%89%B9%E5%88%B6%E8%AF%B7%E6%B1%82%E5%BB%BA%E7%AB%8B%E4%B8%8EKubernetes API服务器的连接，并通过同一连接直接向后端发送任意请求，且使用建立后端连接的Kubernetes API服务器TLS凭证进行身份验证。

Alcide Advisor扫描集群中主节点API服务器和工作节点组件（包括容器运行时）的已知漏洞，对使用Kops、AKS-Engine等托管集群或AKS等托管Kubernetes服务的团队尤为有益。

App-Formation

App-Formation功能（需注册）允许在特定集群上创建基准配置文件，仅返回偏离基准的问题扫描结果，帮助DevOps团队专注于需要关注的相关问题和资产。

反馈与问题

如有反馈或问题，请提交GitHub issue。

立即开始免费试用

!Alcide Kubernetes Advisor

要获得Alcide Kubernetes Advisor的定制体验，请立即开始免费试用

• 所有功能免费试用30天
• 100%无风险 - 试用结束后不会自动购买

或请求演示