Qu'est-ce que la sécurité de Kubernetes et comment un cluster est-il réellement piraté ?

#kubernetes #k8s #containersecurity La sécurité de Kubernetes défend quatre couches. Les clusters passent par la couche de charge de travail : un pod accessible, cinq déplacements, administrateur du cluster. Un pod accessible devient administrateur de cluster en cinq mouvements, et chaque mouvement utilise une seule ligne de YAML que quelqu'un a tapée exprès. Cette vidéo parcourt la véritable chaîne : point d'ancrage, jeton de compte de service, escalade RBAC, fuite de conteneur, pivot cloud. Ensuite, il affiche le contrôle qui coupe chaque lien. Dans cette vidéo, vous apprendrez : - Pourquoi c'est la couche de charge de travail, et non le serveur API, qui est le point de départ de la plupart des compromissions Kubernetes. - Comment IngressNightmare (CVE-2025-1974, CVSS 9.8) a transformé une requête en accès secret à l'échelle du cluster. - Pourquoi chaque pod fournit un identifiant d'API en direct et la seule ligne qui l'arrête : automountServiceAccountToken: false. pod dans l'ensemble du cluster - Pourquoi privilégié : vrai plus un montage hostPath est une évasion de conteneur sans exploit du noyau - Les cinq contrôles du guide de renforcement NSA/CISA qui brisent chaque maillon de la chaîne Pour les ingénieurs de plate-forme, les SRE et les équipes de sécurité qui exécutent ou examinent les clusters Kubernetes en production. Sources : Rapport Red Hat State of Kubernetes Security Report 2024 (89 % des organisations ont eu au moins un incident de conteneur ou Kubernetes en 12 mois) ; Wiz Research sur CVE-2025-1974 IngressNightmare (plus de 6 500 contrôleurs d'admission exposés) ; Documents Kubernetes sur les jetons de compte de service et l'admission à la sécurité des pods (PSP supprimé dans la version 1.25) ; Guide de renforcement Kubernetes NSA/CISA v1.2 ; Câblé sur l’incident de cryptojacking Tesla en 2018. Les chapitres suivent les cinq étapes de la chaîne de compromis, puis les correctifs. K8s Under Attack est produit par Wiz, la plateforme de sécurité cloud qui cartographie les chemins d'attaque sur Kubernetes et les comptes cloud. Source : https://www.redhat.com/en/resources/state-kubernetes-security-report-2024-overview Abonnez-vous à K8s Under Attack pour découvrir une véritable chaîne de compromission de cluster et la ligne manifeste qui l'arrête, chaque semaine. #kubernetes #k8s #containersecurity #RBAC #cloudnative #kubernetessecurity #devsecops #cloudsecurity #containers Chapitres : 00:00 - Qu'est-ce que la sécurité de Kubernetes : quatre couches, une qui est attaquée 00:51 - Étape 1 : la prise (IngressNightmare) 02:03 - Étape 2 : le jeton du compte de service 03:18 - Étape 3 : RBAC escalade vers l'administrateur du cluster 04:33 - Étape 4 : évasion du conteneur avec privilèges et hostPath 05:41 - Étape 5 : le pivot vers le compte cloud 06:44 - Les cinq correctifs qui ont coupé la chaîne 08:02 - Un manifeste de suite