लेखक: यू पेंगफेई , मह चिया हुई

परिचय

पिछले एक दशक में कुबेरनेट्स के उपयोग में विस्फोटक वृद्धि एक बहुत बड़ा तमाशा था। हालाँकि, रोम एक दिन में नहीं बनाया गया था, और आज उपयोग में आने वाली हर दूसरी प्रमुख प्रौद्योगिकी स्टैक की तरह, कंटेनरीकरण तकनीक को परिपक्व होने में कई दशक लग गए, इससे पहले कि कुबेरनेट्स ने अपने वर्तमान चरण में खुद को सर्वश्रेष्ठ अभिव्यक्ति के रूप में प्रस्तुत किया।

जैसे-जैसे अधिक एप्लिकेशन कंटेनरीकृत होते हैं, ऑर्केस्ट्रेशन इंजन जैसे कुबेरनेट्स बेहद लोकप्रिय हो गए हैं। ऑर्केस्ट्रेशन इंजन के रूप में, कुबेरनेट्स कंटेनरीकृत अनुप्रयोगों को प्रबंधित, स्केल और तैनात करने में मदद करता है। उस ने कहा, कई अलग-अलग ऑर्केस्ट्रेशन इंजन हैं (जैसे डॉकर झुंड) - तो कुबेरनेट्स इतने लोकप्रिय क्यों हैं? एक त्वरित उत्तर कुबेरनेट्स में निहित है जो सुविधा-संपन्न है, आत्म-उपचार और ऑटो-स्केलिंग जैसी क्षमताओं से भरा हुआ है। उसके शीर्ष पर, कुबेरनेट्स को अधिकांश क्लाउड सेवा प्रदाताओं (सीएसपी) द्वारा एक प्रबंधित सेवा के रूप में कार्यान्वित किया जाता है। यह ऑर्केस्ट्रेशन इंजनों के लिए "गोल्ड स्टैंडर्ड" के रूप में अपनी स्थिति को मजबूत करता है। कुबेरनेट्स को अपनाना अभी भी बढ़ रहा है, 96% संगठन कुबेरनेट्स का उपयोग या मूल्यांकन कर रहे हैं। (https://thenewstack.io/is-kubernetes-adoption-slowing/)

मो 'हनी मो' समस्याएं

कुबेरनेट्स के व्यापक उपयोग के साथ, यह कोई आश्चर्य की बात नहीं है कि यह एक बेशकीमती हमले की सतह भी है जिसे हमलावर सक्रिय रूप से सूँघने और शोषण करने की कोशिश कर रहे हैं। इसके नए-ईश उत्थान के साथ, डेवलपर्स इसके कार्यान्वयन, कॉन्फ़िगरेशन या परिनियोजन में भी गलतियाँ करते हैं।

कुबेरनेट्स सुरक्षा के संबंध में यह लेख हमारी श्रृंखला में पहला है। यह कुबेरनेट्स के लिए कुछ सामान्य हमलों और बुनियादी सुरक्षा सर्वोत्तम प्रथाओं का अवलोकन प्रदान करेगा। बाद के लेख अधिक जटिल हमलों, जैसे होस्टपाथ माउंटिंग, ट्रैम्पोलिन पॉड्स/नोड्स, आदि, और उनके उपचारों में गहराई से गोता लगाएंगे।

हमलों को समझने के लिए, हमें पहले कुबेरनेट्स आर्किटेक्चर को समझना होगा, नीचे दिया गया हाई-लेवल डायग्राम एक अच्छा शुरुआती बिंदु है। यदि आप पहले से ही कुबेरनेट्स वास्तुकला और इसकी बुनियादी बातों से परिचित हैं, तो बेझिझक "अटैक मेथडोलॉजी" पर जाएं।

कुबेरनेट्स वास्तुकला आरेख

फली

कुबेरनेट्स में कई चलने वाले हिस्से होते हैं, और इसकी सबसे कम काम करने वाली इकाई को POD के रूप में जाना जाता है । एक पॉड कई अलग-अलग कंटेनर और स्टोरेज वॉल्यूम को होस्ट कर सकता है। प्रत्येक पॉड का अपना विशिष्ट IP पता भी होता है। यह अल्ट्रा-स्केलेबल भी है क्योंकि यह परिनियोजन ब्लूप्रिंट (yaml फ़ाइल) पर आधारित है।

नोड्स

चीजों को हर किसी के लिए सरल रखने के लिए, हम केवल नोड्स के प्रकार को विभाजित करेंगे:

● कार्यकर्ता नोड्स

● मास्टर नोड

नोड्स का एक सेट क्लस्टर बनाता है।

कार्यकर्ता नोड्स:

पॉड्स इन वर्कर नोड्स पर रहते हैं जो वर्चुअल या फिजिकल मशीन हो सकते हैं। आप उन्हें पॉड्स के लिए होस्ट मशीन के रूप में सोच सकते हैं।

मास्टर नोड:

मास्टर नोड पूरे क्लस्टर का अंतिम प्रशासक होता है। यह सभी वर्कर नोड्स को नियंत्रित और प्रबंधित करता है, जिसमें निम्नलिखित घटक शामिल हैं: क्यूब-एपीआई सर्वर, क्यूब-कंट्रोलर-मैनेजर, क्यूब शेड्यूलर, आदि।

नाम स्थान

कुबेरनेट्स नेमस्पेस एक अलगाव तंत्र है जो एक क्लस्टर के भीतर संसाधनों को अलग करता है, आमतौर पर तब उपयोग किया जाता है जब अलग-अलग टीमें एक ही क्लस्टर पर काम कर रही होती हैं। साइबर सुरक्षा के संदर्भ में, प्रत्येक नेमस्पेस ऑब्जेक्ट/संसाधन नेमस्पेस के लिए अद्वितीय है। ऑब्जेक्ट/संसाधन का क्रॉस-नेमस्पेस आमंत्रण असंभव है क्योंकि इन ऑब्जेक्ट्स/संसाधनों को उनके नामस्थानों में अलग किया जाता है।

अब इस सारे नए ज्ञान के साथ, आपको कुबेरनेट्स पर्यावरण की मूलभूत समझ होनी चाहिए। आइए चीजों के रसदार पक्ष की ओर बढ़ते हैं, कुबेरनेट्स पर हमला कैसे किया जाता है?

हमले की पद्धति

एक परिष्कृत हमलावर की कार्यप्रणाली को तीन चरणों में तोड़ा जा सकता है।

चरण 1: प्रारंभिक तलहटी

प्रारंभिक पैर जमाने का प्राथमिक तरीका क्लस्टर पर होस्ट किए गए वेब एप्लिकेशन या माइक्रोसर्विस से समझौता करना है। हमलावर का उद्देश्य एप्लिकेशन की गणना करके और शोषक कमजोरियों (जैसे log4shell, apache struts) की पहचान करके एप्लिकेशन पर रिमोट कोड निष्पादन प्राप्त करना है।

चरण 2: विशेषाधिकार वृद्धि

कुबेरनेट्स क्लस्टर में पैर जमाने पर, एक हमलावर एक पॉड के अंदर होगा, जैसा कि समझाया गया है, बस एक डॉकटर कंटेनर है। एक हमलावर संवेदनशील डेटा के लिए कंटेनर को सूंघ सकता है लेकिन जो उपलब्ध है, उस तक सीमित है। . इस प्रकार, हमलावर या तो अधिक विशेषाधिकारों वाले पॉड या नोड तक बढ़ने की कोशिश करेगा।

हमलावर द्वारा नियोजित की जाने वाली कुछ सामान्य तकनीकें निम्नलिखित हैं:

• संवेदनशील फ़ाइलें

उपचार:

एक पॉड में संवेदनशील क्रेडेंशियल्स को अनएन्क्रिप्टेड नहीं छोड़ने के मानक अभ्यास के अलावा, एक कुबेरनेट्स व्यवस्थापक को सेवा खाता टोकन के लिए विशेषाधिकार प्रदान करते समय कम से कम विशेषाधिकार के सिद्धांतों का पालन करना चाहिए।

• पहुंच योग्य अनुप्रयोग

उपचार:

यह प्रबंधित करने के लिए कि कौन से पॉड्स, नामस्थान या यहां तक ​​कि बाहरी सर्वर किसी विशेष कुबेरनेट्स संसाधन तक पहुंच सकते हैं, कुबेरनेट्स व्यवस्थापक कुबेरनेट्स नेटवर्क नीति संसाधन का उपयोग कर सकते हैं ।

• क्लाउड मेटाडेटा सेवाएँ

उपचार:

Kubernetes व्यवस्थापक उपरोक्त Kubernetes नेटवर्क नीति संसाधन का उपयोग किसी हमलावर को क्लाउड मेटाडेटा API और क्लस्टर के भीतर होस्ट किए गए अन्य अनुप्रयोगों तक पहुँचने से रोकने के लिए कर सकता है जो मुख्य व्यावसायिक कार्यों के लिए आवश्यक नहीं हैं।

• पॉड ब्रेकआउट

उपचार:

Kubernetes व्यवस्थापक प्रवेश नियंत्रक संसाधन का उपयोग कर सकता है, एक Kubernetes संसाधन जो परिभाषित नियमों द्वारा Kubernetes क्लस्टर में बनाए जा रहे प्रत्येक संसाधन को मान्य करता है। एक संसाधन जो परिभाषित नियमों का पालन नहीं करता है, बनाने में विफल होगा, जिसके परिणामस्वरूप त्रुटि होगी।

स्टेज 3: क्राउन ज्वेल्स प्राप्त करना

कुबेरनेट्स इकोसिस्टम में, क्राउन ज्वेल्स मास्टर नोड को संदर्भित करता है। एक हमलावर जिसने मास्टर नोड तक पूर्ण पहुंच प्राप्त कर ली है, अनिवार्य रूप से कुबेरनेट्स क्लस्टर का पूर्ण नियंत्रण होगा। हमलावर चरण 1 और 2 में विस्तृत तकनीकों को दोहराएगा, बाद में एक संक्रमित पॉड से अंतर्निहित नोड तक और फिर अंत में मास्टर नोड तक ले जाएगा। इस सबसे खराब स्थिति को होने से रोकने के लिए, कुबेरनेट्स व्यवस्थापक को यह सुनिश्चित करना चाहिए कि क्लस्टर ऊपर उल्लिखित कुछ उपचारों के साथ सुरक्षित रूप से कॉन्फ़िगर किया गया है।

बस इतना ही?

आपके संगठन की कुबेरनेट्स सुरक्षा मुद्रा पर अधिक व्यापक नज़र डालने के लिए, हम अनुशंसा करते हैं कि आप माइक्रोसॉफ्ट के कुबेरनेट्स अटैक मैट्रिक्स का उपयोग करें। मैट्रिक्स में प्रमुख रणनीतियां शामिल हैं जो कुबेरनेट्स सुरक्षा के लिए प्रासंगिक हैं। उनमें से प्रत्येक में कई तकनीकें हैं जिनका उपयोग हमलावर विभिन्न लक्ष्यों को प्राप्त करने के लिए कर सकते हैं।

निष्कर्ष

जैसा कि अधिक संगठन कुबेरनेट्स को कंटेनर ऑर्केस्ट्रेशन के प्रबंधन के लिए वास्तविक उपकरण के रूप में अपनाते हैं, कुबेरनेट्स समूहों पर अधिक संवेदनशील डेटा समाप्त हो जाएगा। इसे सुरक्षित रूप से कॉन्फ़िगर करने के लिए अपने क्लस्टर को सेट अप करने के इच्छुक सिस्टम व्यवस्थापकों की और भी अधिक आवश्यकता है। कुबेरनेट्स क्लस्टर के मास्टर नोड तक पूरी पहुंच वाला एक हमलावर आखिरी चीज है जिसे सीआईएसओ देखना चाहेगा।

हमारे आने वाले लेखों के लिए देखें, जहां हम अधिक गहन और विशिष्ट हमलों को साझा करेंगे जो आज हम आमतौर पर क्षेत्र में देखते हैं।

ध्यान रखें और Flippety-Flip पर आपको पकड़ें।