洞见RSAC 2024｜构建安全壁垒：Kubernetes攻击与防御技术综述
内容提要
Google的安全工程师和Semgrep安全研究员在RSA大会上介绍了Kubernetes安全攻击和防御的议题，包括威胁模型、OWASP Kubernetes Risks Top 10风险清单、攻击手法和防御措施。文章还提到了Kubernetes的演进趋势和云原生安全的重要性。
延伸解读
威胁矩阵的演变：从Dashboard到边车容器
文章对比了微软2020年和2021年发布的Kubernetes威胁矩阵，揭示了攻击面的动态变化。旧版本中“暴露的Kubernetes Dashboard”和“访问Tiller端点”等攻击面因社区加固而被废弃，但新增了“暴露的敏感信息接口”“边车容器注入”“恶意准入控制器”“CoreDNS投毒”等攻击面。这种演变表明，随着Kubernetes自身安全机制的完善，攻击者的焦点正转向更隐蔽、更复杂的攻击技术，如利用服务网格的边车容器提升隐蔽性，或通过准入控制器在资源持久化前注入恶意配置。防御方需持续关注威胁矩阵的更新，以
攻击链的典型路径：从初始访问到持久化
文章详细拆解了Kubernetes攻击矩阵的多个阶段，呈现了一条清晰的攻击链。初始访问阶段，攻击者常利用硬编码的云凭证、泄露的kubeconfig或受攻击的镜像仓库进入集群。执行阶段，攻击者通过kubectl创建恶意容器（如挖矿Pod）或注入边车容器进行恶意操作。持久化阶段，攻击者可能挂载Hostpath写入宿主机，或通过恶意准入控制器在业务Pod中注入边车容器，实现长期驻留。权限提升则可通过部署特权容器或绑定ClusterRole的服务账户实现。防御方应在每个阶段设置检测和阻断点，尤其要保护凭证和kubeconf
内部安全机制：认证、授权与准入控制
文章介绍了Kubernetes的内部安全机制，包括API Server的认证授权、准入控制器、Secret管理和网络策略。认证支持多种方式，如X.509证书、服务账号令牌等；授权常用RBAC模式。准入控制器分为变更和验证两类，MutatingAdmissionWebhook可修改请求对象，ValidatingAdmissionWebhook则校验格式。攻击者可能滥用准入控制器注入恶意边车容器，因此集群管理员需严格限制准入控制器的配置权限。网络策略需依赖支持的网络插件（如Calico、Cilium）才能生效，默认Po
未来趋势：边缘与混合云场景下的安全挑战
文章指出，Kubernetes将以K3s、Minikube、Kubeedge等形态部署在边缘云和混合云场景中，赋能5G、边缘计算、工业互联网等新型基础设施。这种分布式、异构的环境将带来新的安全挑战，例如边缘节点的物理安全、网络延迟导致的策略同步问题等。云原生安全将根据不同场景的特点演化出多种技术路线，同时SASE技术可能融合安全与网络，提供跨私有云、公有云、混合云的统一安全连接。企业需提前规划适应边缘和混合云的安全防护体系，而非简单照搬中心云的安全方案。
Q&A
Kubernetes的安全风险有哪些主要来源？
Kubernetes的安全风险主要来源于控制平面和工作节点的攻击风险，以及软件供应链的潜在攻击。
在Kubernetes中，攻击者如何进行初始访问？
攻击者可以通过利用云凭证、暴露的Kubeconfig、受攻击的镜像仓库等手段进行初始访问。
Kubernetes的威胁模型是如何分析攻击者的？
Kubernetes的威胁模型分析了攻击者可能控制的攻击源，包括控制平面和工作节点，并评估其对集群的影响。
Kubernetes的防御措施有哪些？
Kubernetes的防御措施包括API Server的认证授权、准入控制器和网络策略等内部安全机制。
Kubernetes未来的演进趋势是什么？
Kubernetes未来将更多地部署在边缘云和混合云场景中，并将根据不同需求演化出多种安全技术发展路线。
OWASP Kubernetes Risks Top 10风险清单包含哪些内容？
OWASP Kubernetes Risks Top 10风险清单列出了Kubernetes环境中最常见的安全风险，帮助用户识别和防范这些风险。
