什麼是 Kubernetes 安全性以及叢集實際上是如何被駭客攻擊的？

#kubernetes #k8s #containersecurity Kubernetes 安全防禦四層。叢集屬於工作負載層：一個可存取的 Pod、五次移動、叢集管理。一個可存取的 pod 只需五步即可成為叢集管理員，每一步都依賴某人故意輸入的一行 YAML。該影片走的是真實的鏈條：立足點、服務帳戶代幣、RBAC 升級、容器逃逸、雲端支點。然後它顯示了剪切每個連結的一個控制項。在本影片中，您將了解： - 為什麼大多數 Kubernetes 妥協是從工作負載層（而不是 API 伺服器）開始 - IngressNightmare（CVE-2025-1974、CVSS 9.8）如何將一個請求轉變為叢集範圍的秘密存取權 - 為什麼每個 Service 都會提供一個即時 API 憑證以及阻止它的一行：叢集範圍ClusterRoleBinding 和通配符動詞如何將一個 pod 轉變為集群範圍內的秘密訪問整個集群 - 為什麼特權：true 加上 hostPath 掛載是沒有內核漏洞的容器逃逸 - NSA/CISA 強化指南中的五個控制，打破了鏈條的每個環節 對於在生產中運行或審查 Kubernetes 集群的平台工程師、SRE 和安全團隊。資料來源：Red Hat 2024 年 Kubernetes 安全狀況報告（89% 的組織在 12 個月內至少發生過一次容器或 Kubernetes 事件）； Wiz 研究 CVE-2025-1974 IngressNightmare（6,500 多個暴露的准入控制器）；相關 1574 IngressNightmare（6,500 多個暴露的准入控制器）； NSA/CISA Kubernetes 強化指南 v1.2；關於 2018 年特斯拉加密貨幣劫持事件的連線。各章遵循妥協鏈的五個步驟，然後修復。 K8s Under Attack 由 Wiz 製作，Wiz 是一個雲端安全平台，可繪製跨 Kubernetes 和雲端帳戶的攻擊路徑。資料來源：https://www.redhat.com/en/resources/state-kubernetes-security-report-2024-overview 每週訂閱 K8s Under Attack 以獲得一個真正的集群危害鏈，以及阻止它的清單行。 #kubernetes #k8s #containersecurity #RBAC #cloudnative #kubernetessecurity #devsecops #cloudsecurity #containers 章節： 00:00 - Kubernetes 安全。步驟 3：RBAC 升級致 cluster-admin 04:33 - 第 4 步：使用特權和主機路徑進行容器逃逸 05:41 - 第 5 步：轉向雲端帳戶 06:44 - 切斷鏈條的五個修復 08:02 - 一個清單消失