Was ist Kubernetes-Sicherheit und wie wird ein Cluster tatsächlich gehackt?

#kubernetes #k8s #containersecurity Die Kubernetes-Sicherheit schützt vier Schichten. Cluster durchlaufen die Workload-Ebene: ein erreichbarer Pod, fünf Verschiebungen, Cluster-Administrator. Ein erreichbarer Pod wird in fünf Schritten zum Cluster-Administrator, und jeder Schritt basiert auf einer einzelnen YAML-Zeile, die jemand absichtlich eingegeben hat. Dieses Video zeigt die eigentliche Kette: Standbein, Dienstkonto-Token, RBAC-Eskalation, Container-Escape, Cloud-Pivot. Dann wird das eine Steuerelement angezeigt, das jeden Link schneidet. In diesem Video erfahren Sie: - Warum die meisten Kubernetes-Kompromisse auf der Workload-Ebene und nicht auf dem API-Server beginnen - Wie IngressNightmare (CVE-2025-1974, CVSS 9.8) eine Anfrage in einen Cluster-weiten geheimen Zugriff umwandelte - Warum jeder Pod einen Live-API-Zugang liefert und die eine Zeile, die ihn stoppt: automountServiceAccountToken: false - Wie ein ClusterRoleBinding an Cluster-Administrator- und Platzhalterverben einen Pod in einen Pod umwandelt Der gesamte Cluster – Warum privilegiert: true plus ein HostPath-Mount ist ein Container-Escape ohne Kernel-Exploit – Die fünf Kontrollen aus dem NSA/CISA-Härtungsleitfaden, die jedes Glied der Kette unterbrechen Für Plattformingenieure, SREs und Sicherheitsteams, die Kubernetes-Cluster in der Produktion ausführen oder überprüfen. Quellen: Red Hat State of Kubernetes Security Report 2024 (89 % der Unternehmen hatten in 12 Monaten mindestens einen Container- oder Kubernetes-Vorfall); Wiz Research zu CVE-2025-1974 IngressNightmare (mehr als 6.500 exponierte Zugangskontrolleure); Kubernetes-Dokumente zu Dienstkonto-Tokens und Pod-Sicherheitszulassung (PSP in Version 1.25 entfernt); NSA/CISA Kubernetes Hardening Guide v1.2; Wired über den Tesla-Kryptojacking-Vorfall im Jahr 2018. Die Kapitel folgen den fünf Schritten der Kompromisskette und dann den Korrekturen. K8s Under Attack wird von Wiz produziert, der Cloud-Sicherheitsplattform, die Angriffspfade über Kubernetes und Cloud-Konten hinweg abbildet. Quelle: https://www.redhat.com/en/resources/state-kubernetes-security-report-2024-overview Abonnieren Sie K8s Under Attack, um jede Woche eine echte Cluster-Kompromisskette und die Manifestzeile, die sie stoppt, zu erhalten. #kubernetes #k8s #containersecurity #RBAC #cloudnative #kubernetessecurity #devsecops #cloudsecurity #containers Kapitel: 00:00 – Was Kubernetes-Sicherheit ist: vier Schichten, eine, die angegriffen wird 00:51 – Schritt 1: das Standbein (IngressNightmare) 02:03 – Schritt 2: das Dienstkonto-Token 03:18 – Schritt 3: RBAC-Eskalation zum Cluster-Administrator 04:33 – Schritt 4: Container-Escape mit Privileged und HostPath 05:41 – Schritt 5: Pivot zum Cloud-Konto 06:44 – Die fünf Fixes, die die Kette durchtrennen 08:02 – Ein Manifest entfernt