cks

3.24 Análise estática (security-issues)

Detalhamento da análise estática de manifests e Dockerfiles para identificar problemas de segurança (CKS).

O que é

Análise estática aqui significa revisar manifests (Deployments, StatefulSets, etc.) e Dockerfiles em busca de más práticas de segurança, sem rodar a aplicação. No exame CKS pode ser pedido que você liste os arquivos (ou recursos) que contêm problemas em um diretório, escrevendo os nomes em um arquivo (ex.: /opt/course/22/security-issues).

Problemas comuns a identificar

Tipo	Exemplo de problema
Dockerfile	USER root ou ausência de USER não-root; imagem base desatualizada ou não específica (latest).
Deployment/Pod	Secret ou senha em command ou args em texto claro; env com senha; runAsRoot; sem readOnlyRootFilesystem onde faz sentido.
StatefulSet/DaemonSet	Mesmos pontos: secrets em env/command, privilégios elevados, etc.

Ou seja: procurar por:

• USER root (ou nenhum USER) no Dockerfile.
• Secret/senha em linha de comando (command/args) no deployment.
• Variável de ambiente com senha em texto claro no manifest (ex.: env: [{ name: PASS, value: "secret" }]).
• Uso de image: latest ou imagens sem tag fixa.

Formato típico no exame

O enunciado pode pedir uma lista de arquivos com problemas, um por linha, em um arquivo específico:

echo Dockerfile-mysql >> /opt/course/22/security-issues
echo deployment-redis.yaml >> /opt/course/22/security-issues
echo statefulset-nginx.yaml >> /opt/course/22/security-issues

Ou usar um editor para preencher /opt/course/22/security-issues com os nomes dos arquivos que você identificou.

Ferramentas (conceito)

• Kubesec, KubeLinter, kubeconform: analisam YAML do Kubernetes.
• Hadolint: analisa Dockerfiles.
• No exame, muitas vezes a tarefa é manual: ler os arquivos e listar quais têm problemas.

Resumo para o exame

• Procurar: USER root no Dockerfile; secret/senha em command, args ou env em deployment/statefulset; outros anti-padrões (runAsRoot desnecessário, etc.).
• Saída: lista de nomes de arquivos com problemas, no path indicado (ex.: /opt/course/22/security-issues), um por linha.