Awesome GitHub RepositoriesCloud Native Security

Dive is a command-line tool designed for the analysis and optimization of container images. It functions as a layered storage inspector, allowing users to decompose image manifests to examine individual filesystem layers and identify opportunities to reduce total image size. The tool features a filesystem diffing engine that calculates net changes between sequential layers to highlight redundant data and storage inefficiencies. Users interact with this data through a terminal-based dashboard that provides keyboard-driven navigation of complex file structures and layer metadata. By abstracting

etcd is a distributed, strongly consistent key-value store designed to provide reliable storage for critical system metadata and coordination primitives. It functions as a distributed consensus engine, utilizing a replicated log and leader-based state machine to ensure that all nodes in a cluster maintain a synchronized view of data. By providing atomic operations and linearizable reads and writes, it serves as a foundational component for distributed systems requiring high availability and fault tolerance. The system distinguishes itself through its multi-version concurrency control, which e

This project is a terminal-based dashboard for managing Kubernetes clusters. It provides a character-based interface that enables real-time monitoring and interactive control of containerized workloads, allowing users to perform administrative tasks such as scaling deployments, viewing logs, and managing port forwarding directly from the command line. The interface is designed for high-speed navigation, utilizing a keyboard-driven command system that maps input sequences to specific operational actions. It maintains an accurate view of the cluster state through asynchronous event polling, ens

Minikube is a command-line tool designed for local Kubernetes development, enabling users to provision and manage full-featured container clusters directly on a workstation. It serves as a local orchestrator that automates the lifecycle of isolated environments, allowing developers to start, stop, pause, and delete clusters to support testing and integration workflows. The project distinguishes itself through its flexible architecture, which supports multiple virtualization drivers and container runtimes to accommodate diverse host environments. It provides deep integration between the host a

This project is a local Kubernetes cluster manager and tool that runs control plane and worker nodes as containers on a host machine. It provides an environment for local development and automated testing by emulating a full Kubernetes cluster within a container runtime. The tool enables the creation of multi-node topologies and high-availability control planes through configuration files. It supports image sideloading to transfer container images directly from the host to nodes, bypassing remote registries, and allows for offline deployments using pre-built node images. Capabilities include

This project is a security compliance tool and configuration auditor designed to evaluate Docker deployments against industry security benchmarks. It functions as a script-based scanner that identifies misconfigurations and vulnerabilities within both the host operating system and container settings. The tool specifically implements the Center for Internet Security standards for Docker to verify host and container configurations. It enables a hardening workflow by comparing system states against these standards to identify security gaps and document compliance status. The audit engine suppor

kube-bench is a Kubernetes security benchmark scanner and configuration auditor. It verifies if a cluster adheres to the Center for Internet Security standards and other hardening guides to identify security misconfigurations and vulnerabilities. The tool operates as a containerized security scanner, utilizing host namespaces to analyze nodes and control plane components without requiring the installation of binaries directly on the host. It supports multiple Kubernetes distributions, applying environment-specific benchmarks to ensure auditing accuracy for managed services. The project cover

Kube-hunter ist ein Sicherheitsscanner und Schwachstellen-Jäger für Kubernetes-Cluster. Es arbeitet als Cloud-natives Penetrationstool, das entwickelt wurde, um Sicherheitsschwachstellen, Fehlkonfigurationen der Infrastruktur und ausnutzbare Lücken durch die Simulation von Angreifertechniken zu identifizieren. Das Tool zeichnet sich durch eine Dual-Mode-Scan-Engine aus, die sowohl externe Remote-Probes als auch interne Netzwerk-Scans ausführt. Es verfügt über identitätsbasierte Identitätswechsel, die es ermöglichen, Service-Account-Token und Pod-Identitäten zu verwenden, um Sicherheitszugriffe von spezifischen Cluster-Rollen zu simulieren und den potenziellen Explosionsradius einer Container-Kompromittierung zu bestimmen. Das Projekt deckt ein breites Spektrum an Sicherheitsbewertungsfunktionen ab, einschließlich Cluster-Schwachstellen-Scanning, Mapping der internen Netzwerktopologie und Compliance-Verifizierung. Es kann offengelegte Geheimnisse erkennen, Infrastruktur-Templates auf Fehlkonfigurationen analysieren und aktive Ausnutzungsversuche durchführen, um zu verifizieren, ob entdeckte Schwachstellen ausnutzbar sind. Die Anwendung wird als eigenständige ausführbare Datei verpackt, um Laufzeitabhängigkeiten während des Deployments zu entfernen.

CDK ist ein spezialisiertes Toolset für die Sicherheitsüberprüfung von Containern, die Ausnutzung von Container-Ausbrüchen und das Pentesting von Cloud-Infrastrukturen. Es bietet eine Sammlung von Skripten und Tools, die darauf ausgelegt sind, Schwachstellen in Container-Runtimes zu identifizieren und auszunutzen, um aus isolierten Umgebungen auszubrechen und Befehle auf dem zugrunde liegenden Host-Betriebssystem auszuführen. Das Projekt verfügt über eine dedizierte Docker-Runtime-Exploit-Suite für den Missbrauch der Docker-API, procfs und cgroups, um unbefugten Zugriff auf Host-Ebene zu erlangen. Es enthält spezifische Techniken zur Umgehung der Isolierung über LXCFS, User-Namespace-Exploitation und Host-Disk-Mounting sowie Funktionen zum Extrahieren von Cloud-Metadaten und zur Überprüfung von Service-Account-Berechtigungen zur Eskalation von Privilegien in Cluster-Umgebungen. Das Toolkit deckt ein breites Spektrum an Sicherheitsüberprüfungsfunktionen ab, einschließlich der Überprüfung von Kubernetes-Clustern auf Secret-Exfiltration und Policy-Analyse, das Scannen sensibler Dateien und Dienste sowie die Erkennung von Host-Netzwerkfreigaben. Es bietet zudem Dienstprogramme zum Einrichten von Reverse Shells, zum Bereitstellen von Payloads in eingeschränkten Umgebungen und zum Installieren von Systemverwaltungstools innerhalb minimaler Container.

kubeadm ist ein Tool zur Initialisierung einer Minimum Viable Kubernetes Control Plane und zum Hinzufügen von Worker-Nodes zu einem sicheren Cluster. Es dient als Control-Plane-Orchestrator und Cluster-Bootstrapper, der darauf ausgelegt ist, das Deployment und die Wartung der Kubernetes-Management-Ebene zu automatisieren. Das Projekt bietet Dienstprogramme für das Lifecycle-Management zum Upgrade von Cluster-Versionen und zum Zurücksetzen von Node-Zuständen, um Hosts auf eine saubere Installationsbasis zurückzusetzen. Es handhabt die sichere Integration neuer Nodes durch Token-basiertes Hinzufügen und stellt die Verfügbarkeit während Software-Übergängen durch phasenweises Versions-Upgrading sicher. Das System deckt zudem Node-Provisioning und Administration ab, einschließlich der Vorbereitung von Host-Voraussetzungen, Node-Image-Anpassung und Multi-Node-Aufgabenausführung. Es nutzt deklaratives Konfigurations-Mapping, um High-Level-Dateien in die notwendigen Flags und Umgebungsvariablen für Orchestrierungs-Binaries zu übersetzen.

Dieses Projekt bietet eine Suite von Diagnose- und Validierungs-Utilities für Container-Runtimes, die das Kubernetes Container Runtime Interface (CRI) implementieren. Es dient als Kommandozeilen-Interface für die Interaktion mit und die Verwaltung von Container-Lebenszyklen, Images und Sandboxes direkt auf einem Host-Rechner, ohne dass ein vollständiges Cluster-Deployment erforderlich ist. Das Toolset zeichnet sich durch seinen Fokus auf Interface-Konformität und Performance-Verifizierung aus. Es enthält automatisierte Test-Suiten, die validieren, ob eine Runtime definierte Interface-Spezifikationen einhält und Ressourcen-Plugin-Integrationen korrekt handhabt. Zusätzlich bietet es Benchmarking-Funktionen zur Messung der Latenz und des Durchsatzes von Container-Operationen sowie Utilities zur Inspektion des Runtime-Status und zur Fehlerbehebung bei der Konnektivität durch konfigurierbare Wiederholungs- und Timeout-Richtlinien. Über die Kernvalidierung hinaus unterstützt das Projekt operative Aufgaben wie das Ausführen von Befehlen in aktiven Containern, das Verwalten von Container-Checkpoints und das Überwachen von Ressourcen-Nutzungsmetriken. Es enthält zudem Funktionen zum Testen der Stabilität von Streaming-Datenverbindungen für interaktive Sitzungen, um sicherzustellen, dass Port-Forwarding- und Attachment-Operationen wie erwartet funktionieren.

问脉已接入 openai, 可以使用 openai 对扫描的结果进行人性化分析，让您更加清晰的了解本次扫描发现了哪些风险。

HummerRisk 是云原生安全平台，包括混合云安全治理和云原生安全检测。

Peirates - Kubernetes Penetration Testing tool

a tool to perform static analysis of known vulnerabilities, trojans, viruses, malware & other malicious threats in docker images/containers and to monitor the docker daemon and running docker containers for detecting anomalous activities

Red Team K8S Adversary Emulation Based on kubectl