kubescape.io

是什么

Kubescape 是一个开源 Kubernetes 安全平台，目标是在开发、部署到运行时阶段提供端到端安全覆盖。它由 ARMO 创建，现为 CNCF incubating project，并以 Apache 2.0 许可证发布。其定位不是通用网络安全产品，而是围绕 Kubernetes 环境的配置风险、镜像漏洞、策略合规和运行时威胁检测展开。

核心能力与部署

从防护类型看，Kubescape 支持扫描 Kubernetes manifests、Helm charts 和 live clusters，可识别错误配置和已知漏洞；同时支持网络策略与 seccomp profile 校验，帮助降低攻击面。运行时层面，它提供对活动集群中可疑行为和威胁的监测。部署方式包括本地客户端快速安装，以及集群内 Kubescape Operator。底层使用 Open Policy Agent 校验控制项，镜像扫描使用 Grype，镜像修补使用 Copacetic，eBPF 能力来自 Inspektor Gadget。

合规、管理与集成

合规方面，正文提到支持 CIS Benchmarks、NSA-CISA、MITRE ATT&CK、SOC 2 等框架，并支持自定义策略。结果默认以控制台友好形式输出，也可导出 JSON、junit XML、HTML 或 PDF，并可提交到云服务。集成能力较强，覆盖 VS Code、Lens、GitHub Actions、GitLab CI，并支持多云和多种 Kubernetes 发行版，适合嵌入开发与 CI/CD 流程做持续扫描。

定价与优缺点

其最大优势是开源免费、许可证清晰，且处于 CNCF 生态，便于企业自建、审计和二次集成。功能覆盖面也较完整，能把左移扫描、集群合规与运行时检测串联起来。限制在于正文没有披露云服务定价、企业 SLA、付费支持或托管版能力边界；另外，策略调优、Rego、运行时检测等能力对团队的 Kubernetes 与云原生安全经验有一定要求。

适合谁与中国访问

Kubescape 适合已经运行 Kubernetes 的平台工程、DevOps/SRE 和安全团队，尤其适合希望用开源工具建立 K8s 安全基线、CI/CD 门禁和持续合规检查的组织。若需求是传统边界防火墙、终端防护或通用漏洞管理，则应考虑其他产品。中国访问、支付方式和本地化支持正文未说明，判定为未知；可替代或互补工具包括 Trivy、Falco、Checkov、Polaris、Kube-bench、Kyverno 与 OPA Gatekeeper。