Yazan: Yu Pengfei , Mah Chia Hui

giriiş

Kubernetes'in son on yıldaki patlayıcı kullanım artışı, büyük bir gösteriydi. Bununla birlikte, Roma bir günde inşa edilmedi ve tıpkı bugün kullanılan diğer tüm büyük teknoloji yığınları gibi, Kubernetes'in kendisini mevcut aşamasında en iyi eklemleme olarak sunması için konteynerleştirme teknolojisinin olgunlaşması birkaç on yıl aldı.

Daha fazla uygulama kapsayıcıya aktarıldıkça, Kubernet'ler gibi düzenleme motorları son derece popüler hale geldi. Bir düzenleme motoru olarak Kubernetes, kapsayıcılı uygulamaları yönetmeye, ölçeklendirmeye ve dağıtmaya yardımcı olur. Bununla birlikte, tonlarca farklı orkestrasyon motoru (Docker Swarm gibi) var — peki Kubernet'ler neden bu kadar popüler olmaya devam ediyor? Hızlı bir yanıt, Kubernetes'in zengin özelliklere sahip olması, kendi kendini iyileştirme ve otomatik ölçeklendirme gibi yeteneklerle dolu olmasıdır. Üstelik Kubernetes, çoğu bulut hizmeti sağlayıcısı (CSP) tarafından yönetilen bir hizmet olarak uygulanır. Bu, orkestrasyon motorları için "Altın standart" konumunu pekiştiriyor. Kuruluşların %96'sının Kubernetes kullanması veya değerlendirmesiyle Kubernetes'in benimsenmesi hâlâ artıyor. (https://thenewstack.io/is-kubernetes-adoption-slowing/)

Mo' Honey Mo' Sorunları

Kubernetes'in yaygın kullanımıyla, saldırganların aktif olarak ortaya çıkarmaya ve istismar etmeye çalıştığı değerli bir saldırı yüzeyi olması da şaşırtıcı değil. Geliştiriciler, yeni benzeri yükselişiyle, uygulanmasında, yapılandırılmasında veya konuşlandırılmasında da hatalar yapıyor.

Bu makale, Kubernetes güvenliği ile ilgili serimizin ilkidir. Bazı yaygın saldırılara ve Kubernet'ler için temel güvenlik en iyi uygulamalarına genel bir bakış sağlayacaktır. Sonraki makaleler, HostPath Montajı, trambolin bölmeleri/düğümleri vb. gibi daha karmaşık saldırılara ve bunların çözümlerine daha derinlemesine dalacaktır.

Saldırıları anlamak için öncelikle Kubernetes mimarisini anlamalıyız, aşağıdaki üst düzey diyagram iyi bir başlangıç ​​noktasıdır. Kubernetes mimarisine ve temellerine zaten aşina iseniz, "Saldırı Metodolojisi"ne geçmekten çekinmeyin.

Kubernetes Mimari Şeması

Bölmeler

Kubernet'ler birçok hareketli parçadan oluşur ve en düşük çalışan birimi POD olarak bilinir . Bir bölme, birden çok farklı kapsayıcıyı ve depolama birimini barındırabilir. Her bölmenin ayrıca benzersiz bir IP adresi vardır. Ayrıca dağıtım planlarına (yaml dosyası) dayalı olduğu için ultra ölçeklenebilirdir.

Düğümler

İşleri herkes için basit tutmak için, düğüm türlerini şu şekilde ayıracağız:

● Çalışan Düğümler

● Ana Düğüm

Bir dizi düğüm bir küme oluşturur.

Çalışan Düğümler:

Bölmeler, sanal veya fiziksel makineler olabilen bu çalışan düğümlerde bulunur. Bunları bölmeler için ana makineler olarak düşünebilirsiniz.

Ana Düğüm:

Ana Düğüm, tüm küme üzerindeki nihai yöneticidir. Aşağıdaki bileşenleri içeren tüm çalışan düğümleri kontrol eder ve yönetir: Kube-API sunucusu, Kube-Controller-Manager, Kube Scheduler, vb.

Ad alanı

Kubernetes ad alanı, genellikle aynı küme üzerinde farklı ekipler çalışırken kullanılan, bir küme içindeki kaynakları izole eden bir yalıtım mekanizmasıdır. Siber güvenlik bağlamında, her bir ad alanı nesnesi/kaynağı, ad alanına özgüdür. Nesnenin/kaynağın çapraz ad alanı çağrılması, bu nesneler/kaynaklar kendi ad alanları içinde izole edildiğinden imkansızdır.

Şimdi tüm bu yeni bilgilerle, Kubernetes ortamı hakkında temel bir anlayışa sahip olmalısınız. İşlerin daha sıkıcı tarafına geçelim, Kubernetes'e nasıl saldırır?

Saldırı Metodolojisi

Sofistike bir saldırganın metodolojisi üç aşamaya ayrılabilir.

Aşama 1: İlk dayanak noktası

İlk dayanak noktası elde etmenin birincil yolu, kümede barındırılan bir web uygulamasından veya mikro hizmetten ödün vermektir. Saldırganın amacı, uygulamayı numaralandırarak ve yararlanılabilir güvenlik açıklarını (örn. log4shell, apache payandaları) belirleyerek uygulamada uzaktan kod yürütme elde etmektir.

2. Aşama: Ayrıcalık Yükseltme

Saldırgan, Kubernetes kümesinde bir yer edindikten sonra, açıklandığı gibi yalnızca bir docker konteyneri olan bir bölmenin içinde olacaktır. Saldırgan, kapsayıcıyı hassas veriler için koklayabilir, ancak mevcut verilerle sınırlıdır. . Bu nedenle, saldırgan ya daha fazla ayrıcalığa sahip bir bölmeye ya da bir düğüme tırmanmaya çalışacaktır.

Saldırganın kullanacağı bazı yaygın teknikler şunlardır:

• Hassas Dosyalar

Düzeltme:

Hassas kimlik bilgilerini bir bölmede şifrelenmemiş olarak bırakmama şeklindeki standart uygulamaya ek olarak, bir Kubernetes yöneticisi, hizmet hesabı belirtecine ayrıcalıklar sağlarken en az ayrıcalık ilkelerine uymalıdır.

• Ulaşılabilir Uygulamalar

Düzeltme:

Hangi bölmelerin, ad alanlarının ve hatta harici sunucuların belirli bir Kubernetes kaynağına erişebileceğini yönetmek için bir Kubernetes yöneticisi Kubernetes ağ ilkesi kaynağını kullanabilir .

• Bulut Meta Veri Hizmetleri

Düzeltme:

Kubernetes yöneticisi , bir saldırganın bulut meta veri API'sine ve temel iş işlevleri için gerekli olmayan küme içinde barındırılan diğer uygulamalara ulaşmasını önlemek için yukarıda bahsedilen Kubernetes ağ ilkesi kaynağını kullanabilir .

• Pod koparma

Düzeltme:

Kubernetes yöneticisi, tanımlanmış bir kural kümesi tarafından Kubernetes kümesinde oluşturulan her kaynağı doğrulayan bir Kubernetes kaynağı olan kabul denetleyicisi kaynağını kullanabilir. Tanımlanan kural setine uymayan bir kaynak oluşturulamaz ve bu da bir hataya neden olur.

3. Aşama: Kraliyet mücevherlerini almak

Kubernetes ekosisteminde taç mücevherler, ana düğümü ifade eder. Ana düğüme tam erişim elde eden bir saldırgan, esasen Kubernetes kümesi üzerinde tam denetime sahip olacaktır. Saldırgan, virüs bulaşmış bir bölmeden alttaki düğüme ve son olarak ana düğüme yanal olarak hareket etmek için 1. ve 2. aşamalarda ayrıntılı olarak açıklanan teknikleri tekrar eder. Bu en kötü durum senaryosunun oluşmasını önlemek için bir Kubernetes yöneticisi, kümenin yukarıda belirtilen düzeltmelerden bazılarıyla güvenli bir şekilde yapılandırıldığından emin olmalıdır.

Hepsi bu?

Kuruluşunuzun Kubernetes güvenlik duruşuna daha kapsamlı bir bakış için Microsoft'un Kubernetes saldırı matrisini kullanmanızı öneririz. Matris, Kubernetes güvenliğiyle ilgili ana taktikleri içerir. Her biri, saldırganların farklı hedeflere ulaşmak için kullanabilecekleri çeşitli teknikler içerir.

Çözüm

Daha fazla kuruluş, konteyner orkestrasyonunu yönetmek için fiili araç olarak Kubernetes'i benimsedikçe, daha hassas veriler Kubernetes kümelerinde yer alacaktır. Kümelerini güvenli bir şekilde yapılandırmak için kurmak isteyen sistem yöneticilerine daha da büyük bir ihtiyaç var. Bir Kubernetes kümesinin ana düğümüne tam erişimi olan bir saldırgan, bir CISO'nun görmek isteyeceği en son şeydir.

Bugün sahada yaygın olarak gördüğümüz daha derinlemesine ve spesifik saldırıları paylaşacağımız gelecek makalelerimizi bekleyin.

Kendinize iyi bakın ve FLIPPETY-FLIP'te sizi yakalayın.