Хорошо проиллюстрированная статья "Kubernetes: Security Contexts", объясняющая назначение, специфику и отличия Pod Security Context и Security Context.

В официальной документации этому вопросу посвящен раздел "Configure a Security Context for a Pod or Container".

Исследователи из Aqua Nautilus обнаружили, что как минимум 5 компаний из списка Fortune 500 имеют критичные мисконфиги в registries и artifact repositories, содержащих более 250 миллионов артефактов и 65000 образов. Эти данные включают в себя различные ключи, токены, креды, секреты и приватные эндпоинты.

Очевидно, что registries являются важной частью цепочки поставок в облаке, и что организации не уделяют им достаточного внимания. Если злоумышленники получают доступ к ним, они могут отравить и потенциально использовать весь SDLC.

Причины такого достаточно тривиальные:

- открытый доступ в интернет
- уязвимые версии компонентов
- слабые пароли
- разрешенный анонимный доступ

Если говорить о том, как снизить риски:

- использование VPN или firewall
- использование SSO, MFA, и надежных паролей
- регулярное обновление ключей, кредов и секретов
- следование приницпу наименьших привилегий
- регулярное сканирование sensitive data

В заключение, небольшой cheatsheet с mitigations.

Давненько не выступал в Санкт-Петербурге и завтра это исправлю. А конкретнее в 15:00 на Код ИБ с докладом "Контейнеры и Kubernetes: не боимся, а используем и защищаем". Разберемся, что такое и зачем нужны контейнеры и Kubernetes, а также рассмотрим их с точки зрения ИБ и отношения российских регуляторов.

Еще одна прекрасно проиллюстрированная статья "Kubernetes: Network Policies" от того же автора, о котором мы недавно уже писали. В этот раз тема про нативную NetworkPolicy. И если вы визуал, как абсолютное большинство людей на этом шарике, то вам такое объяснение принципов работы данного ресурсы точно зайдет.

Также не забываем про классные репозиторий Kubernetes Network Policy Recipes с его анимированными схемами политик!

Про кастомные политики рекомендую посмотреть наше (команды Luntry) выступление "NetworkPolicy — родной межсетевой экран Kubernetes" ;)

Metarget – это инструмент, позволяющий разворачивать уязвимые инфраструктуры в одну команду.

Развертывание инфраструктуры занимает довольно много времени и часто это становится проблемой при тестировании PoC. Конечно, есть такие проекты как Vulhub или VulApps, но они всё-такие заточены на уязвимые веб-приложения, которые нужно обернуть в контейнер для удобного использования.

Вообщем, если вам нужна уязвимая версия docker или Kubernetes, то эта тулза musthave. Вот что она предлагает:

- уязвимости в docker
- уязвимости в ядре
- уязвимости в containerd
- уязвимости в runc
- уязвимости и мисконфиги в kubernetes

Самое то, чтобы тренировать и отрабатывать навыки для пентестов.

С конференции KubeCon + CloudNativeCon Europe 2023 стали доступны:
- Слайды (зайдите в описание интересующего вас доклада)
- Видео

Там море всего крутого! Обязательно, самое интересное рассмотрим на нашем канале.

Наша конференция БЕКОН, конечно, в масштабах с данным мероприятием тягаться не может, но вот по актуальности тем у нас есть ряд интересных пересечений - так что у нас будет все самое актуальное по индустрии!

Совсем недавно компания ControlPlane представила довольно интересный отчёт: Argo CD End User Threat Model – Security Considerations for Hardening Declarative GitOps CD on Kubernetes.

Всего в отчёте около 20 findings, рассматривается как внешний так и внутренний нарушитель. Все угрозы разбиты по категориям, для каждой определены риски, приоритетность и рекомендации с mitigations. Отдельно выделю крутые Attack Tree, построенные по моделям нарушителя.

С полным отчетом можно ознакомиться по ссылке тут.

Сегодня публикуем последний доклад (хотя еще возможны и сюрпризы в программе) нашей программы БЕКОН:

- "Концепция Cluster API или как разворачивать безопасные кластера", Дмитрий Путилин (VK)

Описание: С учетом развития Kubernetes и его инструментов развертывания за последние 8 лет, вопрос безопасности и соответствия рекомендациям CIS Benchmark для конфигурации K8S кластеров становится все более актуальным. В докладе автор поделиться опытом использования связки Policy Engine и ресурсов Kubernetes для обеспечения безопасности при развертывании кластеров с помощью Cluster-API и аналогичных решений.

Ознакомиться с полной программой и купить билеты можно тут.

Недавно на глаза попалась занимательная заметка "A Follow-up to the Exploit-DB and 0day.today Comparison" (продолжение "A Comparison of Exploit-DB and 0day.today") с очень интересными результатами. Основной лейтмотив данного материала это CVE и имеющихся для них эксплоитов. Как вы, наверное, уже догадались нам тут это все интересно в контексте сканирования образов на известные уязвимости, результаты которых чаще всего идут потом как задачи для разработчиков для обновления сторонних зависимостей. Что разработчики делать, конечно, не очень любят ...

Как по мне основной вывод можно описать следующей цитатой: "Consider that Exploit-DB contains exploits for nearly 25,000 CVE, but only 500 of those have been exploited in the wild. 500 CVE is only 2% of the CVE in the database."

Пару моментов от меня:
1) 2% — это очень мало. Вспомните сколько задача вы поставили своим разработчикам для обновлений в сравнении с этим.
2) 2% — не значит, что под другие уязвимости нельзя самостоятельно написать эксплоиты и использовать таргетировано.
3) Угнаться за всеми обновлениями, фиксами, базами знаний невозможно лучше использовать возможности Kubernetes для построения ZeroTrust обороны.

Стало доступно видео моего выступления "Классификация и систематизация средств безопасности для Kubernetes" с мероприятия CyberCamp MeetUp. DevSecOps.

В рамках данного доклада я постарался показать и объяснить специалистам ИБ, которые ранее защитой Kubernetes не занимались, какие есть механизмы и средства безопасности для него, попутно проводя параллели с классическими средствами ИБ. Доклад нацелен на специалистов только начинающих погружаться в данную тему.

Всем хороших выходных!

Совсем недавно зарелизилась новая версия trivy – v0.41.0. Новвоведений не так много, но всё-таки они есть:

1) Добавили поддержку VEX – можно фильтровать найденные уязвимости в форматах CycloneDX и OpenVEX
2) Теперь trivy умеет генерировать SBOM для образов виртуальных машин в форматах CycloneDX и SPDX
3) Вложенные пути в JAR-файлах стали отображаться корректно
4) Trivy может обнаруживать лицензии у файлов с кастомным уровнем доверия
5) Добавили поддержку SPDX 2.3
6) Теперь можно генерировать custom compliance reports

Не стоит забывать, что сканеры уязвимостей не являются silver bullet – об этом мы не раз упоминали в своих постах [1,2]. Ну и сам trivy не является идеальным инструментом для работы с уязвимостями – если вы захотите скормить ему SBOM от других тулзов, скорее всего он ничего не найдет.

В чате Kubernetes один из читателей задался вопросом – “Если выставить privileged: true в securityContext, то capabilities: drop: [ALL] теряет всякий смысл?”. Нам стал интересен результат и мы решили это проверить:

Сначала проверим capabilities у privileged контейнера:

root@ubuntu:/run# capsh --print
Current: =ep
Bounding set =cap_chown,cap_dac_override,cap_dac_read_search, …(всего около 40, для удобства восприятия список сокращен)

Потом при выставленном capabilities: drop: [ALL]:

root@ubuntu:/run# capsh --print
Current:
Bounding set =

И в последний раз privileged + capabilities: drop: [ALL]:

root@ubuntu:/run# capsh --print
Current: =ep
Bounding set =cap_chown,cap_dac_override,cap_dac_read_search, …

Никакой разницы между первым и третьим пунктом нет. Становится ясно, что privileged имеет более высокий приоритет над capabilities.

В полку Infrastructure Bill of Materials (IBOM) и Software Bill of Materials (SBOM) пополнение в виде Kubernetes Bill of Materials (KBOM)! И об этом можно узнать из статьи "KSOC Releases the First Kubernetes Bill of Materials (KBOM) Standard", а так же начать пробовать с этим работать с помощью утилитки kbom.

Из статьи можно узнать зачем это вообще придумали, когда полезно и чем отличается от SBOM, IBOM. Основной довод звучит так: "For example, many SBOMs will only cover custom-built images. In terms of what is actually deployed in Kubernetes, looking only at bills of materials for custom images would completely miss third party images for the control plane or in the CRD,"

Напомню что SBOM для основных (control plane) образов k8s можно получать так.

Я пока не понял смысла этого KBOM (за исключением пиара) ....

Awesome Cloud Security Labs - набор различных лаб для самостоятельного изучения безопасности облачных сред и технологий:
- AWS
- Azure
- GCP
- Kubernetes
- Container
- Terraform

Для k8s есть 3 лабы!

Уже на этой неделе - 19 мая в 15:00 на конференции PHDays я (Дмитрий Евдокимов, Luntry) вместе со своим хорошим товарищем Виктором Бобыльковым из Райффайзенбанк представим доклад "SCAзка о SCAнерах".

Доклад будет посвящен процессу Software Composition Analysis. В выступлении будет предложен новый способ оценки уровня зрелости процесса SCA по методологии CMMI. Сейчас зачастую в сфере кибербезопасности у специалистов не хватает компетенции и времени сесть и оценить, в каком состоянии находится тот или иной процесс, куда стоит двигаться дальше и почему нужно приоритизировать именно эти, а не другие задачи.

В докладе будет много про процессы, море CVE и, конечно, образы контейнеров и контейнеры (куда же без них)!

Буду рад со всеми увидеться лично и ответить на любые вопросы про нашу конференцию БЕКОН.

Сегодня хочу поделиться с вами новым крутым ресурсом от Rory McCune – Cloud Native Security Talks.

По сути, сайт представляет из себя хаб, в котором собраны доклады с различных конференций, посвященные Cloud Native Security (само собой будет обновляться и дополняться). Всё самое свежее и полезное в одном месте.

Однозначно рекомендую!

В официальном блоге Kubernetes вышла заметка об очень важном и нужном нововведении "Kubernetes 1.27: In-place Resource Resize for Kubernetes Pods (alpha)".

По сути благодаря этой фичи теперь можно динамически менять limits и requests для контейнеров без необходимости их перезапуска! Тоесть если какому-то приложению во время старта/инициализации/прогрева/... требуется много ресурсов, а далее во время функционирования основной логики требуется меньше ресурсов, то сейчас можно гибко это провернуть, дав много ресурсов и затем забрать ненужные.

Если кратко, то появилось следующее:
- InPlacePodVerticalScaling feature gate
- Поле resources у контейнеров стало изменяемым и можно его менять!
- Новое поле restartPolicy для cpu и memory с возможными значениями NotRequired и RestartContainer
- Новое поле resources в статусе контейнера для отображения фактической картины

И рекомендую почитать "Resize CPU and Memory Resources assigned to Containers"

Мы обещали 10 докладов в программе нашей конференции БЕКОН, но ... их будет 12!

Есть одна тема, которую мы очень хотели осветить - это Container specific OS и мы до последнего не сдавались искали контент про это.

- ОС Talos Linux - путь к "тому самому" харденингу инфраструктуры для k8s (Николай Панченко, Тинькофф)
- Контейнерная ОС Flatcar: как обмазаться докерами и забыть про пакеты (Александр Кондратьев, BI.ZONE)

Билеты можно купить тут.

Privilege escalation in AWS Elastic Kubernetes Service – очень интересная статья про повышение привилегий и закрепление в EKS кластере.

Для начала автор затрагивает интересный момент: с скомпроментированного пода, можно достучаться до AWS metadata для получения информации об IAM. По сути, это означает, что независимо от того какие привилегии имеет под, он имеет те же возможности в AWS, что и EC2.

Сам вектор построен на использовании system:node token, но просто так использовать его не получится – он ограничен механизмом NodeRestriction. Автор в деталях показывает как можно повысить свои права в кластере, получив cluster-admin. После этого также затрагивается техника для закрепления, через указание IAM роли и без создания дополнительных Kubernetes Resources.

В качестве remedations предлагается использовать функцию AWS IMDSv2, перенос ненадежных микросервисов на изолированную Node (концепция DMZ) и отключение доступа из вне к Kubernetes API.

Серия из 26 роликов для подготовки к Certified Kubernetes Security Specialist (CKS)! Сам гайд для подготовки от того же автора тут.

P.S. Ближайшие 2 дня я в Москве на PHDays! Буду рад встретиться в IRL или AFK, кому что ближе и пообщаться)

Having fun with seccomp profiles on the edge – новая заметка в официальном блоге Kubernetes.

Заметка в первую очередь посвящена Security Profles Operator (о котором мы не раз рассказывали на канале – 1, 2, 3) а точнее новому функционалу, добавленному в версии v.0.8.0. Благодаря новому интерфейсу spoc, можно записывать и воспроизводить seccomp profiles.

Автор подробно на простом примере показывает работу новой фичи. Важно отметить, что использовать seccomp можно на любой Linux системе, а также встраиваться в CI/CD. Вообщем, если задумывались затащить к себе seccomp – обязательно к прочтению.