Audit logging Kubernetes : qui a fait quoi, après coup
RBAC empêche, Falco détecte en direct, l'audit logging répond après l'incident. Sans Audit Policy activée, cette question n'a tout simplement pas de réponse.
parcours
Sécurité d’infrastructure
La plupart des failles d'infrastructure ne sont pas des vulnérabilités mais des configurations. Ce parcours couvre ce qui se décide à la conception.
20 articles · 3 sections
01
Accès et traçabilité
Qui peut faire quoi, et comment le vérifier après coup.
Events Kubernetes : la mémoire d'une heure que personne ne retient
Un Event Kubernetes disparaît après 1 heure par défaut, pas après un an. La preuve d'un incident survenu la veille a souvent déjà été purgée avant qu'on la cherche.
02
Secrets
Stocker, distribuer et faire tourner un secret.
Chiffrement au repos : les Secrets déjà écrits restent en clair
Activer EncryptionConfiguration chiffre les nouvelles écritures dans etcd. Les Secrets déjà stockés avant l'activation restent en clair, sans avertissement.
ConfigMap modifié : pourquoi les pods ne redémarrent jamais
Modifier un ConfigMap ne redémarre aucun pod automatiquement. Les variables d'environnement ne se mettent même jamais à jour sans un redémarrage manuel.
Secrets CI : de la variable masquée à l'OIDC
Comment un credential cloud dans la CI finit par fuiter, pourquoi masquer une variable n'est pas une frontière de sécurité, et ce que change l'identité fédérée.
Kubernetes : Secrets natifs, Sealed Secrets ou Vault ?
Les Secrets Kubernetes sont du base64, pas du chiffrement. Comment Sealed Secrets rend un manifeste committable, quand Vault vaut son coût, comment choisir.
03
Durcissement et surface exposée
Réduire ce qui est exposé avant de surveiller ce qui reste.
Dérive d'horloge : pourquoi la synchro NTP compte plus qu'il n'y paraît
Un serveur dont l'horloge dérive de quelques minutes rejette silencieusement des certificats TLS valides. chronyc tracking révèle en une commande ce que personne ne surveille.
SELinux : Permission denied malgré un chmod parfaitement correct
chmod et chown corrects, et pourtant Permission denied persiste. SELinux applique un second système de permissions : le contexte de sécurité, indépendant des droits Unix.
Pourquoi chmod u+s ne fait rien sur un script shell
Le bit setuid marche sur un binaire compilé mais le kernel l'ignore silencieusement sur un script shell, protection délibérée contre une classe de faille connue.
Sticky bit : pourquoi /tmp bloque la suppression des fichiers d'autrui
Écrire dans un répertoire suffit à y supprimer n'importe quel fichier, même d'un autre utilisateur. Le sticky bit sur /tmp casse délibérément cette règle par défaut.
visudo : la commande qui évite de se verrouiller soi-même dehors
Éditer /etc/sudoers directement risque une erreur de syntaxe qui casse sudo pour tout le monde, y compris pour la corriger. visudo valide avant d'écrire.
Falco : ce que RBAC et NetworkPolicy ne voient jamais
RBAC, NetworkPolicy et Pod Security agissent avant qu'un pod ne tourne. Falco observe ce qui se passe réellement à l'intérieur, une fois qu'il tourne déjà.
Provenance SLSA : au-delà de la signature d'image
Signer une image prouve qu'elle vient de votre pipeline, pas comment le pipeline l'a produite. Ce que le framework SLSA ajoute, et à quel niveau viser.
Pod Security Standards : la sécurité par label de namespace
PodSecurityPolicy est mort depuis Kubernetes 1.25. Pod Security Admission le remplace par trois profils appliqués via un simple label de namespace.
Renovate ou Dependabot : automatiser les mises à jour sans y perdre
Une dépendance jamais mise à jour devient une dette de sécurité qui s'accumule en silence. Renovate et Dependabot automatisent la mise à jour, pas la même façon.
Webhooks d'admission Kubernetes : mécanique et pièges
Un webhook d'admission est un point de défaillance unique explicite. failurePolicy: Fail peut bloquer tout le cluster si le webhook devient injoignable.
RBAC Kubernetes : le moindre privilège, en pratique
RBAC Kubernetes refuse tout par défaut, mais un rôle trop large ne casse jamais rien : il existe, silencieux, jusqu'à l'incident qui l'expose.
Scanner et signer ses images de conteneurs en CI/CD
Scan de vulnérabilités en garde-fou de pipeline, signature keyless des images de conteneurs avec cosign, SBOM et vérification à l'admission Kubernetes.
Blackbox monitoring : superviser depuis l'extérieur
Pourquoi les métriques internes ne suffisent jamais, comment blackbox_exporter sonde HTTP, TLS et expiration de certificats, et le piège du faux positif réseau.
Ingress et cert-manager : le TLS qui se renouvelle sans vous
Comment un Ingress route le trafic HTTP, ce que cert-manager automatise pour les certificats Let's Encrypt, et le piège du challenge HTTP-01.