本月初，美國國家安全局 (NSA) 和美國網(wǎng)絡(luò)安全與基礎(chǔ)設(shè)施安全局 (CISA)發(fā)布了《Kubernetes強化指南》。該指南詳細(xì)介紹了加強Kubernetes系統(tǒng)的建議，并提供了配置指南以最大限度地降低風(fēng)險。主要操作包括掃描容器和Pod是否存在漏洞或錯誤配置，以盡可能低的權(quán)限運行容器和 Pod，以及如何使用網(wǎng)絡(luò)分離、防火墻、強身份驗證和日志審計。

為了保障指南的有效落地，CISA日前發(fā)布了與指南配套的測試工具——Kubescape，該工具基于OPA引擎和ARMO的姿態(tài)控制，可用于測試Kubernetes是否遵循NSA和CISA強化指南中定義的安全部署。用戶可使用Kubescape測試集群或掃描單個YAML文件并將其集成到流程中。

Kubescape測試內(nèi)容如下：

• 非根容器
• 不可變?nèi)萜魑募到y(tǒng)
• 特權(quán)容器
• hostPID、hostIPC 權(quán)限
• 主機網(wǎng)絡(luò)訪問
• allowedHostPaths字段
• 保護pod服務(wù)帳戶令牌
• 資源政策
• 控制平面強化
• 外露儀表板
• 允許權(quán)限提升
• 配置文件中的應(yīng)用程序憑據(jù)
• 集群管理員綁定
• 執(zhí)行到容器
• 危險能力
• 不安全的能力
• Linux加固
• 入口和出口被阻止
• 容器主機端口
• 網(wǎng)絡(luò)政策

據(jù)了解，Kubernetes是一個應(yīng)用較廣泛的開源系統(tǒng)，可自動部署、擴展和管理在容器中運行的應(yīng)用程序，通常托管在云環(huán)境中，并提供比傳統(tǒng)軟件平臺更高的靈活性。

針對Kubernetes的攻擊通常為數(shù)據(jù)竊取、計算力竊取或拒絕服務(wù)。一般來說，數(shù)據(jù)盜竊是主要動機。然而，攻擊者也可能會嘗試使用Kubernetes來利用網(wǎng)絡(luò)的底層基礎(chǔ)設(shè)施來竊取計算力，以實現(xiàn)加密貨幣挖礦等目的。

【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】

戳這里，看該作者更多好文