Kubernetes のセキュリティとは何ですか?また、クラスターは実際にどのようにハッキングされるのでしょうか?

#kubernetes #k8s #containersecurity Kubernetes セキュリティは 4 つの層で防御されます。クラスターはワークロード層 (到達可能なポッドが 1 つ、移動が 5 つ、クラスター管理者) を通過します。到達可能な 1 つのポッドは 5 回の移動でクラスター管理者になり、すべての移動で、誰かが意図的に入力した YAML の 1 行が使用されます。このビデオでは、足場、サービス アカウント トークン、RBAC エスカレーション、コンテナー エスケープ、クラウド ピボットといっ​​た実際のチェーンを説明します。次に、各リンクを切断する 1 つのコントロールが表示されます。このビデオでは、次のことを学びます。 - ほとんどの Kubernetes 侵害の始まりが API サーバーではなくワークロード層である理由 - IngressNightmare (CVE-2025-1974、CVSS 9.8) が 1 つのリクエストをクラスター全体のシークレット アクセスに変換した理由 - すべてのポッドにライブ API 認証情報が送信される理由と、それを停止する 1 行: automountServiceAccountToken: false - ClusterRoleBinding をクラスター管理者およびワイルドカード動詞に設定する方法1 つのポッドをクラスター全体に変える - 特権が必要な理由: true に加えて hostPath マウントは、カーネル エクスプロイトを使用しないコンテナー エスケープ - チェーンの各リンクを切断する NSA/CISA 強化ガイドの 5 つのコントロール 本番環境で Kubernetes クラスターを実行またはレビューするプラットフォーム エンジニア、SRE、セキュリティ チーム向け。出典: Red Hat State of Kubernetes Security Report 2024 (組織の 89% が 12 か月間に少なくとも 1 つのコンテナまたは Kubernetes インシデントを経験)。 CVE-2025-1974 IngressNightmare に関する Wiz Research (6,500 以上の公開されたアドミッション コントローラー)。サービス アカウント トークンとポッド セキュリティ アドミッションに関する Kubernetes ドキュメント (PSP は v1.25 で削除されました)。 NSA/CISA Kubernetes 強化ガイド v1.2; 2018 年のテスラのクリプトジャッキング事件についてワイヤードしました。各章では、侵害チェーンの 5 つのステップをたどってから、修正に進みます。 K8s Under Attack は、Kubernetes とクラウド アカウント間の攻撃パスをマッピングするクラウド セキュリティ プラットフォームである Wiz によって作成されています。出典: https://www.redhat.com/en/resources/state-kubernetes-security-report-2024-overview 毎週、1 つの実際のクラスター侵害チェーンとそれを阻止するマニフェスト行について、K8s Under Attack を購読してください。 #kubernetes #k8s #containersecurity #RBAC #cloudnative #kubernetessecurity #devsecops #cloudsecurity #containers 章: 00:00 - Kubernetes セキュリティとは: 4 つの層、攻撃される層 00:51 - ステップ 1: 足場 (IngressNightmare) 02:03 - ステップ 2: サービス アカウント トークン 03:18 - ステップ 3:クラスター管理者への RBAC エスカレーション 04:33 - ステップ 4: 特権とホストパスを使用したコンテナーのエスケープ 05:41 - ステップ 5: クラウド アカウントへのピボット 06:44 - チェーンを切断する 5 つの修正 08:02 - 1 つのマニフェストを削除