Bonnes pratiques¶

# Tester les regles localement avant deploiement
falco --validate /etc/falco/falco_rules.yaml \
      --validate /etc/falco/falco_rules.local.yaml

# Compter les alertes par regle (apres tuning)
# Dans Grafana, comparer avant/apres tuning

# Verifier les violations en mode audit
kubectl get k8sdisallowprivileged no-privileged-containers \
  -o jsonpath='{.status.violations}' | jq '.'

# Compter les violations par contrainte
kubectl get constraints -o json | \
  jq '.items[] | {name: .metadata.name, violations: (.status.violations | length)}'

# Voir les images avec des CVE critiques non corrigees
kubectl get vulnerabilityreports -A -o json | \
  jq '.items[] | select(.report.summary.criticalCount > 0) |
    {namespace: .metadata.namespace,
     image: .report.artifact.repository,
     critical: .report.summary.criticalCount,
     high: .report.summary.highCount}'

# Audit CIS avec Trivy
trivy k8s --compliance k8s-cis --report summary cluster

# Rapport detaille
trivy k8s --compliance k8s-cis --report all cluster > cis-report.json

# 1. Isoler le pod : supprimer les labels pour le detacher du Service
kubectl label pod <pod-compromis> app- --overwrite

# 2. Appliquer une NetworkPolicy d'isolation totale
cat <<EOF | kubectl apply -f -
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: isolate-compromised-pod
  namespace: <namespace>
spec:
  podSelector:
    matchLabels:
      incident: isolated
  policyTypes:
    - Ingress
    - Egress
  # Aucun flux autorise — isolation totale
EOF

kubectl label pod <pod-compromis> incident=isolated

# 3. Capturer l'etat du pod avant suppression (forensics)
kubectl get pod <pod-compromis> -o yaml > forensics/pod-manifest.yaml
kubectl logs <pod-compromis> > forensics/pod-logs.txt
kubectl describe pod <pod-compromis> > forensics/pod-describe.txt

# 4. Si necessaire, supprimer le pod compromis
kubectl delete pod <pod-compromis> --grace-period=0 --force

# 5. Si le namespace entier est compromis, isoler le namespace
kubectl annotate namespace <namespace> incident=active

# Diagnostiquer les drops
kubectl -n falco-system logs -l app.kubernetes.io/name=falco | grep -i drop

# Verifier les regles chargees
kubectl -n falco-system exec -it <falco-pod> -- falco --list | head -20

# Verifier la version du driver
kubectl -n falco-system exec -it <falco-pod> -- falco --version

# Verifier le status d'un ConstraintTemplate
kubectl get constrainttemplate <name> -o jsonpath='{.status}'

# Verifier les violations en cours
kubectl get constraints -A -o json | \
  jq '.items[] | select(.status.totalViolations > 0) |
    {name: .metadata.name, violations: .status.totalViolations}'

# Tester une politique Rego localement
echo '{"review": {"object": ...}}' | opa eval -d policy.rego 'data.main.deny'

# Voir les jobs de scan en echec
kubectl -n trivy-system get jobs --field-selector status.failed=1

# Forcer un re-scan en supprimant le rapport
kubectl delete vulnerabilityreport <report-name> -n <namespace>

# Verifier la connectivite vers la base de vulnerabilites
kubectl -n trivy-system run trivy-test --rm -it --image=aquasec/trivy:latest -- \
  image --download-db-only