Audit de sécurité Kubernetes et conteneurs
Savoir ce qu’un conteneur compromis permet d’atteindre dans votre cluster.
Réponse courte
Audit Kubernetes : de quoi s’agit-il, pour qui, à quel prix ?
Revue de configuration et tests offensifs d’un cluster Kubernetes et de ses images : droits RBAC, isolation des pods, secrets, réseau, chaîne de construction des images, accès à l’API et aux nœuds. Durée indicative : 3 à 8 jours selon la taille du cluster. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Un conteneur n’est pas une frontière de sécurité par défaut. Quand une application web hébergée dans un pod est compromise, la question est ce que l’attaquant peut faire depuis ce pod : lire le jeton du compte de service, interroger l’API du cluster, atteindre d’autres espaces de noms, joindre le service de métadonnées du fournisseur cloud ou s’échapper vers le nœud. La mission part précisément de cette hypothèse.
La revue couvre le plan de contrôle (exposition et authentification de l’API, journaux d’audit), les droits RBAC, les paramètres de sécurité des pods (conteneurs privilégiés, montages de l’hôte, capacités), les politiques réseau, la gestion des secrets, ainsi que les images et le registre. Les clusters managés (AKS, EKS, GKE) et auto-hébergés n’ont pas les mêmes responsabilités : nous distinguons ce qui relève de votre configuration de ce qui relève du fournisseur.
Un outil de contrôle des paramètres suffit à produire une liste d’écarts, il ne dit pas lesquels sont exploitables chez vous. Nous vérifions à la main, dans un espace de noms de test ou un cluster dédié quand c’est possible, ce qu’un attaquant ferait réellement d’un défaut. Les tests sur un cluster de production sont limités aux vérifications sans effet sur les charges de travail.
En résumé
- Durée indicative
- 3 à 8 jours selon la taille du cluster
- Prix
- sur devissur devis après cadrage : le prix dépend du nombre de clusters, d’espaces de noms et de la chaîne de déploiement
- Référentiels appliqués
- CIS Kubernetes BenchmarkPod Security Standards de KubernetesMITRE ATT&CK pour les conteneursOWASP Kubernetes Top Ten
Mission conduite sous autorisation écrite, avec accord de confidentialité et clause d’arrêt immédiat.
Réponse à toute demande sous 24 h ouvrées.
Audit Kubernetes : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Plan de contrôle et accès à l’API
Exposition de l’API du cluster, modes d’authentification, accès anonyme, journaux d’audit, tableau de bord et composants d’administration exposés.
Droits RBAC et comptes de service
Rôles trop larges, liaisons au niveau du cluster, jetons de comptes de service montés par défaut, possibilité de créer des pods ou de lire des secrets.
Isolation des pods et des nœuds
Conteneurs privilégiés, montages de l’hôte, capacités excessives, exécution en super-utilisateur, possibilités d’évasion, règles de sécurité des pods en vigueur.
Réseau et segmentation
Politiques réseau entre espaces de noms, accès aux services de métadonnées, exposition des services internes, trafic sortant des pods.
Secrets et configuration
Secrets stockés en clair ou mal chiffrés, variables d’environnement sensibles, intégration avec un gestionnaire de secrets, rotation.
Images et chaîne de déploiement
Provenance des images, registre, vulnérabilités atteignables, signature, droits du pipeline de déploiement sur le cluster.
Audit Kubernetes : que livre la mission ?
- Rapport de constats avec preuve d’exploitation et impact dans votre cluster
- Cartographie des chemins d’un pod compromis vers l’API, les nœuds et le cloud
- Écarts au CIS Benchmark classés par exploitabilité réelle
- Manifestes et politiques de correction prêts à appliquer (politiques réseau, règles de sécurité des pods)
- Restitution avec l’équipe plateforme
- Une passe de vérification des correctifs incluse
Qu’est-ce que cela change pour vous ?
- Savoir jusqu’où va un attaquant qui prend le contrôle d’un seul pod
- Des droits, des politiques réseau et des secrets resserrés selon des preuves
- Une trajectoire de durcissement réalisable sans arrêter les charges de travail
Vérification des correctifs incluse
Une passe de contrôle rejoue les preuves d’origine jusqu’à trois mois après le rapport, et produit une attestation de correction.
Audit Kubernetes : pour qui est-ce utile ?
- Équipes qui ont migré leurs applications vers Kubernetes sans revue de sécurité du cluster
- Éditeurs SaaS qui hébergent plusieurs clients sur un même cluster
- Entreprises qui exploitent un cluster managé et veulent clarifier la part qui leur revient
- Équipes plateforme qui préparent une mise en production ou une demande de grand compte
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Audit Kubernetes : combien de temps dure la mission ?
Durée indicative : 3 à 8 jours selon la taille du cluster. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Définir ce qui est testé, ce qui est exclu, et ce qu’une réussite signifierait pour vous.
- 02
Autorisation et règles d’engagement
Aucune requête n’est émise avant une autorisation écrite nominative sur un périmètre explicite.
- 03
Reconnaissance et cartographie
Établir la surface réelle, presque toujours plus large que l’inventaire fourni.
- 04
Tests et exploitation
Vérifier les vulnérabilités connues, puis chercher ce qu’aucun outil ne trouve.
- 05
Rapport et restitution
Deux lectures : une synthèse de décision, un rapport technique actionnable.
- 06
Vérification des correctifs
Vérifier que ce qui a été corrigé l’est bien, sans régression.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Autorisation écrite avant toute requêteNominative, sur un périmètre et une période écrits. Hors périmètre, rien n’est sondé.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Arrêt immédiat sur simple demandeUn contact que vous désignez peut interrompre la mission par un seul message, sans justification.
- Chaque constat est reproduitCe qui ne peut pas être reproduit passe en observation, il n’entre pas dans la liste des vulnérabilités.
- Vérification des correctifs incluseJusqu’à trois mois après le rapport, avec une attestation de correction.
- Un exemple de rapport à lireLa structure réelle d’un rapport, sur un exemple entièrement fictif.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez faire tester, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
Audit Kubernetes : ce qu’on nous demande
Auditez-vous un cluster Kubernetes managé chez un fournisseur cloud ?
Oui. Sur un cluster managé, le fournisseur sécurise le plan de contrôle, mais la configuration des droits, des pods, du réseau et des secrets reste la vôtre. L’audit porte sur cette part et vérifie les paramètres du service managé qui engagent votre responsabilité (exposition de l’API, rôles du cloud associés aux nœuds). Si vous avez aussi un audit cloud à faire, les deux se coordonnent pour éviter les doublons.
Quelle différence entre un audit Kubernetes et un audit cloud ?
L’audit cloud examine les comptes, les identités, le stockage et le réseau du fournisseur. L’audit Kubernetes examine ce qui se passe à l’intérieur du cluster : droits RBAC, pods, secrets, politiques réseau, images. Les deux se rejoignent aux frontières : un pod compromis qui obtient des droits cloud via le rôle du nœud, par exemple. Selon votre situation, nous vous conseillons de les mener ensemble ou à la suite.
Suffit-il de scanner les images de conteneurs pour sécuriser un cluster ?
Non. Le scan d’images repère les composants vulnérables embarqués, ce qui est utile mais ne dit rien de la configuration du cluster : un pod privilégié, un jeton de compte de service trop puissant ou une politique réseau absente restent invisibles. Il ne signale pas non plus si la vulnérabilité est atteignable depuis l’extérieur. L’audit relie les deux : quelles vulnérabilités d’image comptent vraiment, compte tenu des droits du conteneur qui les porte.
Faut-il un cluster de test pour réaliser l’audit ?
Ce n’est pas obligatoire, mais c’est préférable pour les essais d’exploitation. Un espace de noms de test, ou mieux un cluster de préproduction de même configuration, permet d’aller jusqu’à l’évasion d’un conteneur sans risque pour la production. Sur la production, nous nous limitons à la revue de configuration et aux vérifications sans effet sur les charges de travail, ce que nous écrivons dans les règles d’engagement.
Pour comprendre avant de décider
- ArticleAutorisation de test d’intrusion : ce que doit contenir la lettrePérimètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
- ArticleQue doit contenir un rapport de test d’intrusion ?Les éléments qu’un rapport de test d’intrusion doit contenir pour être utile : synthèse, périmètre, preuves reproductibles, gravité justifiée, recommandations et limites. Grille de vérification.
Quelles prestations s’y associent ?
Audit cloud
Dans le cloud, la plupart des incidents partent d’une mauvaise configuration.
2 à 12 joursdès 1 290 €
Audit de code
Retrouver la ligne de code responsable et la raison pour laquelle elle a été écrite.
3 à 15 jours selon le volume de codedès 1 900 €
Surface exposée
Savoir dès qu’un actif apparaît sur Internet, avant que quelqu’un d’autre ne le trouve.
mise en place en 1 à 2 jours, puis suivi continudès 190 €
Réponse à toute demande sous 24 h ouvrées
Faire tester ce périmètre
Trente minutes de cadrage suffisent à savoir si « Audit Kubernetes » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Autorisation écrite obligatoire
- Accord de confidentialité systématique
- Vérification des correctifs incluse