Cuestionario de Kubescape
Última actualización: September 13, 2026
Preguntas
1. ¿Cuál es el nivel actual de madurez de Kubescape en CNCF?
- A) Graduated
- B) Incubating
- C) Sandbox
- D) Archived
Mostrar respuesta
Respuesta: B) Incubating
Kubescape se unió a CNCF el 13 de diciembre de 2022 y pasó a Incubating el 13 de enero de 2025. Esto no garantiza la seguridad ni la disponibilidad de una instalación individual.
2. ¿Cómo se deben verificar los nombres de los frameworks y los recuentos de controles?
- A) Usar siempre alias antiguos de CIS
- B) Registrar las versiones del binario/de la política e inspeccionar la lista real
- C) Los recuentos de controles de NSA nunca cambian
- D) Aprobar un análisis SOC2 completa la certificación
Mostrar respuesta
Respuesta: B) Registrar las versiones del binario/de la política e inspeccionar la lista real
Use kubescape list frameworks y list controls --framework NSA. La instantánea revisada de NSA contiene 26 controles, cuya aplicabilidad se determina mediante la entrada. Conserve los hashes de las políticas al comparar puntuaciones.
3. ¿Qué ocurre cuando se omite un destino de archivo local de kubescape scan?
- A) Siempre falla
- B) Puede analizar el clúster del kubeconfig actual
- C) Siempre analiza únicamente archivos locales
- D) Siempre realiza una ejecución de prueba
Mostrar respuesta
Respuesta: B) Puede analizar el clúster del kubeconfig actual
CI debe pasar un archivo local explícito existente y rechazar destinos vacíos o inexistentes. --keep-local, una caché aislada y una política fijada no sustituyen la comprobación del alcance de entrada.
4. ¿Qué afirmación distingue correctamente el funcionamiento del Operator y de la CLI?
- A) El Operator solo proporciona una GUI
- B) La CLI gestiona análisis explícitos/ad hoc; el Operator ejecuta capacidades continuas/programadas habilitadas
- C) Instalar el Operator demuestra que todas las funcionalidades de tiempo de ejecución funcionan
- D) Las imágenes de la CLI y del Operator siempre tienen la misma versión
Mostrar respuesta
Respuesta: B) La CLI gestiona análisis explícitos/ad hoc; el Operator ejecuta capacidades continuas/programadas habilitadas
Chart 1.40.4 genera la imagen del scanner 4.0.13, mientras que la CLI local probada es 4.0.14. El alcance y los permisos de nodo/imagen/tiempo de ejecución/remediación requieren elecciones y validación independientes.
5. ¿Cómo se relacionan score y complianceScore?
- A) Siempre son iguales
- B) Siempre suman 100
- C) Son agregados independientes en el esquema de resultados
- D) Ambos son valores CVSS promedio
Mostrar respuesta
Respuesta: C) Son agregados independientes en el esquema de resultados
El Pod inseguro sintético produjo compliance 55 y score 62.5. Lea summaryDetails.complianceScore y summaryDetails.score. Estos valores locales no miden la seguridad de un clúster real.
6. ¿Qué ocurre con compliance 55 y --compliance-threshold 56?
- A) Se aprueba porque este es un límite máximo de riesgo
- B) Sale con 1 porque no se alcanza el cumplimiento mínimo
- C) Siempre sale con 2
- D) Es equivalente a la puerta actual --fail-threshold 0
Mostrar respuesta
Respuesta: B) Sale con 1 porque no se alcanza el cumplimiento mínimo
El mismo fixture devolvió la salida 0 con el umbral 55 y la salida 1 con 56. La versión 4.0.14 acepta el obsoleto --fail-threshold, pero ignora su valor; no lo use como puerta.
7. ¿Cuál es una base sólida para comparar kube-bench y Kubescape?
- A) Suponer que uno reemplaza cada comprobación basándose en su nombre
- B) Comparar el alcance y el acceso reales de nodo/CIS frente a workload/configuración
- C) Ambos pueden inspeccionar cada ajuste del control plane sin acceso
- D) Una aprobación de Kubescape es un certificado CIS
Mostrar respuesta
Respuesta: B) Comparar el alcance y el acceso reales de nodo/CIS frente a workload/configuración
Los control planes administrados de EKS, los manifests locales y el acceso a archivos del nodo ofrecen visibilidad diferente. Distinga las comprobaciones no disponibles/no evaluadas de las aprobadas y seleccione las herramientas en consecuencia.
8. ¿Qué afirmación sobre los controles RBAC es correcta?
- A) C-0036 siempre comprueba RBAC con comodines
- B) Un RoleBinding concede acceso en todos los namespaces
- C) Verificar los IDs/nombres de controles actuales y el alcance de la recopilación
- D) scan rbac es un subcomando independiente en la CLI revisada
Mostrar respuesta
Respuesta: C) Verificar los IDs/nombres de controles actuales y el alcance de la recopilación
El bundle revisado asigna C-0035 a Administrative Roles y C-0036/0039 a comprobaciones de admisión de validación/mutación. Los RoleBindings tienen ámbito de namespace; el análisis estático no valida automáticamente IAM externo.
9. ¿Qué afirmación distingue correctamente los análisis de imagen y de host?
- A) El análisis de host solo comprueba CVE de imagen
- B) Los análisis explícitos de imagen necesitan acceso al registry/DB; los análisis de host tienen un alcance independiente
- C) Grype solo genera SBOM
- D) Las versiones de imagen/plataforma/base de datos no importan
Mostrar respuesta
Respuesta: B) Los análisis explícitos de imagen necesitan acceso al registry/DB; los análisis de host tienen un alcance independiente
La CLI usa Grype y Syft; el kubevuln del Operator tiene versiones independientes. Los análisis de host pueden necesitar recursos o permisos adicionales. En esta auditoría no se ejecutaron descargas de imágenes ni análisis de host.
10. ¿Cuáles son los formatos correctos de excepción para la CLI y dentro del clúster?
- A) La CLI consume directamente un ConfigMap arbitrario
- B) Distinguir alertOnly en un array JSON de CLI de alert_only en SecurityException v1beta1
- C) Cada anotación ignore es automáticamente una excepción
- D) Registrar una excepción remedia el problema
Mostrar respuesta
Respuesta: B) Distinguir alertOnly en un array JSON de CLI de alert_only en SecurityException v1beta1
En la prueba, alertOnly reconoció un fallo sin cambiar compliance. exclude-controls cambia el denominador de evaluación. Realice el seguimiento de la propiedad, el alcance, la caducidad y la revisión por separado de la remediación.
Cálculo de puntuación
- 9–10: Comprensión sólida
- 7–8: Repase los conceptos de alcance/puerta no acertados
- 6 o menos: Revise la guía y los ejemplos probados