在 Kubernetes 丛林中追捕隐匿黑客
原文英文，约600词，阅读约需2分钟。
📝
内容提要
在CloudNativeSecurity会议上，安全专家讨论了如何使用日志追踪Kubernetes环境中的威胁行为者。他们建议积极搜索攻击者的痕迹，并通过查看各种日志来发现异常。组织必须积极寻找威胁，拥有正确的工具、知识和怀疑的问题。
🔎
延伸解读
日志是威胁狩猎的基石
文章强调，要发现Kubernetes环境中的攻击者，必须启用并收集相关日志，包括API服务器日志、调度器日志、控制器管理器日志、审计日志和认证日志，以及云提供商的日志如AWS CloudTrail。这些日志记录了攻击者的足迹，是安全团队追踪潜在威胁的关键依据。
三个关键指标揭示潜在攻击
演讲者指出，在假设攻击者已获得持久访问的场景中，有三个关键指标值得关注：外部账户创建的持久访问、来自不熟悉来源的连接、以及对敏感云资源的意外访问。这些指标可能预示着攻击者已经渗透并试图扩大访问权限。
主动狩猎需要正确的心态
有效的威胁狩猎不仅仅是技术问题，更是一种主动、好奇的心态。安全团队应假设威胁已经存在，并积极寻找它们。正如演讲者所说，关键在于提出正确的问题，保持怀疑和好奇，而不是被动等待警报。
❓
Q&A
如何在Kubernetes环境中追踪黑客？
通过查看API服务器日志、调度器日志、审计日志等，积极搜索攻击者的痕迹。
组织在Kubernetes安全方面应该注意什么？
组织必须主动寻找威胁，配备正确的工具和知识，提出可疑的问题。
现代威胁狩猎的比喻是什么？
现代威胁狩猎被比作高风险的“找瓦尔多”游戏。
攻击者如何获得对Kubernetes集群的持久访问？
攻击者可能通过创建外部账户的持久访问来获得对集群的控制。
在Kubernetes中发现异常活动的关键指标是什么？
关键指标包括外部账户的持久访问、不熟悉来源的连接和意外访问敏感资源。
有效的威胁狩猎需要什么心态？
有效的威胁狩猎需要保持积极和好奇的心态，提出正确的问题。
🏷️
