Совсем недавно компания ControlPlane представила довольно интересный отчёт: Argo CD End User Threat Model – Security Considerations for Hardening Declarative GitOps CD on Kubernetes.

Всего в отчёте около 20 findings, рассматривается как внешний так и внутренний нарушитель. Все угрозы разбиты по категориям, для каждой определены риски, приоритетность и рекомендации с mitigations. Отдельно выделю крутые Attack Tree, построенные по моделям нарушителя.

С полным отчетом можно ознакомиться по ссылке тут.

Сегодня публикуем последний доклад (хотя еще возможны и сюрпризы в программе) нашей программы БЕКОН:

- "Концепция Cluster API или как разворачивать безопасные кластера", Дмитрий Путилин (VK)

Описание: С учетом развития Kubernetes и его инструментов развертывания за последние 8 лет, вопрос безопасности и соответствия рекомендациям CIS Benchmark для конфигурации K8S кластеров становится все более актуальным. В докладе автор поделиться опытом использования связки Policy Engine и ресурсов Kubernetes для обеспечения безопасности при развертывании кластеров с помощью Cluster-API и аналогичных решений.

Ознакомиться с полной программой и купить билеты можно тут.

Недавно на глаза попалась занимательная заметка "A Follow-up to the Exploit-DB and 0day.today Comparison" (продолжение "A Comparison of Exploit-DB and 0day.today") с очень интересными результатами. Основной лейтмотив данного материала это CVE и имеющихся для них эксплоитов. Как вы, наверное, уже догадались нам тут это все интересно в контексте сканирования образов на известные уязвимости, результаты которых чаще всего идут потом как задачи для разработчиков для обновления сторонних зависимостей. Что разработчики делать, конечно, не очень любят ...

Как по мне основной вывод можно описать следующей цитатой: "Consider that Exploit-DB contains exploits for nearly 25,000 CVE, but only 500 of those have been exploited in the wild. 500 CVE is only 2% of the CVE in the database."

Пару моментов от меня:
1) 2% — это очень мало. Вспомните сколько задача вы поставили своим разработчикам для обновлений в сравнении с этим.
2) 2% — не значит, что под другие уязвимости нельзя самостоятельно написать эксплоиты и использовать таргетировано.
3) Угнаться за всеми обновлениями, фиксами, базами знаний невозможно лучше использовать возможности Kubernetes для построения ZeroTrust обороны.

Стало доступно видео моего выступления "Классификация и систематизация средств безопасности для Kubernetes" с мероприятия CyberCamp MeetUp. DevSecOps.

В рамках данного доклада я постарался показать и объяснить специалистам ИБ, которые ранее защитой Kubernetes не занимались, какие есть механизмы и средства безопасности для него, попутно проводя параллели с классическими средствами ИБ. Доклад нацелен на специалистов только начинающих погружаться в данную тему.

Всем хороших выходных!

Совсем недавно зарелизилась новая версия trivy – v0.41.0. Новвоведений не так много, но всё-таки они есть:

1) Добавили поддержку VEX – можно фильтровать найденные уязвимости в форматах CycloneDX и OpenVEX
2) Теперь trivy умеет генерировать SBOM для образов виртуальных машин в форматах CycloneDX и SPDX
3) Вложенные пути в JAR-файлах стали отображаться корректно
4) Trivy может обнаруживать лицензии у файлов с кастомным уровнем доверия
5) Добавили поддержку SPDX 2.3
6) Теперь можно генерировать custom compliance reports

Не стоит забывать, что сканеры уязвимостей не являются silver bullet – об этом мы не раз упоминали в своих постах [1,2]. Ну и сам trivy не является идеальным инструментом для работы с уязвимостями – если вы захотите скормить ему SBOM от других тулзов, скорее всего он ничего не найдет.

В чате Kubernetes один из читателей задался вопросом – “Если выставить privileged: true в securityContext, то capabilities: drop: [ALL] теряет всякий смысл?”. Нам стал интересен результат и мы решили это проверить:

Сначала проверим capabilities у privileged контейнера:

root@ubuntu:/run# capsh --print
Current: =ep
Bounding set =cap_chown,cap_dac_override,cap_dac_read_search, …(всего около 40, для удобства восприятия список сокращен)

Потом при выставленном capabilities: drop: [ALL]:

root@ubuntu:/run# capsh --print
Current:
Bounding set =

И в последний раз privileged + capabilities: drop: [ALL]:

root@ubuntu:/run# capsh --print
Current: =ep
Bounding set =cap_chown,cap_dac_override,cap_dac_read_search, …

Никакой разницы между первым и третьим пунктом нет. Становится ясно, что privileged имеет более высокий приоритет над capabilities.

В полку Infrastructure Bill of Materials (IBOM) и Software Bill of Materials (SBOM) пополнение в виде Kubernetes Bill of Materials (KBOM)! И об этом можно узнать из статьи "KSOC Releases the First Kubernetes Bill of Materials (KBOM) Standard", а так же начать пробовать с этим работать с помощью утилитки kbom.

Из статьи можно узнать зачем это вообще придумали, когда полезно и чем отличается от SBOM, IBOM. Основной довод звучит так: "For example, many SBOMs will only cover custom-built images. In terms of what is actually deployed in Kubernetes, looking only at bills of materials for custom images would completely miss third party images for the control plane or in the CRD,"

Напомню что SBOM для основных (control plane) образов k8s можно получать так.

Я пока не понял смысла этого KBOM (за исключением пиара) ....

Awesome Cloud Security Labs - набор различных лаб для самостоятельного изучения безопасности облачных сред и технологий:
- AWS
- Azure
- GCP
- Kubernetes
- Container
- Terraform

Для k8s есть 3 лабы!

Уже на этой неделе - 19 мая в 15:00 на конференции PHDays я (Дмитрий Евдокимов, Luntry) вместе со своим хорошим товарищем Виктором Бобыльковым из Райффайзенбанк представим доклад "SCAзка о SCAнерах".

Доклад будет посвящен процессу Software Composition Analysis. В выступлении будет предложен новый способ оценки уровня зрелости процесса SCA по методологии CMMI. Сейчас зачастую в сфере кибербезопасности у специалистов не хватает компетенции и времени сесть и оценить, в каком состоянии находится тот или иной процесс, куда стоит двигаться дальше и почему нужно приоритизировать именно эти, а не другие задачи.

В докладе будет много про процессы, море CVE и, конечно, образы контейнеров и контейнеры (куда же без них)!

Буду рад со всеми увидеться лично и ответить на любые вопросы про нашу конференцию БЕКОН.

Сегодня хочу поделиться с вами новым крутым ресурсом от Rory McCune – Cloud Native Security Talks.

По сути, сайт представляет из себя хаб, в котором собраны доклады с различных конференций, посвященные Cloud Native Security (само собой будет обновляться и дополняться). Всё самое свежее и полезное в одном месте.

Однозначно рекомендую!

В официальном блоге Kubernetes вышла заметка об очень важном и нужном нововведении "Kubernetes 1.27: In-place Resource Resize for Kubernetes Pods (alpha)".

По сути благодаря этой фичи теперь можно динамически менять limits и requests для контейнеров без необходимости их перезапуска! Тоесть если какому-то приложению во время старта/инициализации/прогрева/... требуется много ресурсов, а далее во время функционирования основной логики требуется меньше ресурсов, то сейчас можно гибко это провернуть, дав много ресурсов и затем забрать ненужные.

Если кратко, то появилось следующее:
- InPlacePodVerticalScaling feature gate
- Поле resources у контейнеров стало изменяемым и можно его менять!
- Новое поле restartPolicy для cpu и memory с возможными значениями NotRequired и RestartContainer
- Новое поле resources в статусе контейнера для отображения фактической картины

И рекомендую почитать "Resize CPU and Memory Resources assigned to Containers"

Мы обещали 10 докладов в программе нашей конференции БЕКОН, но ... их будет 12!

Есть одна тема, которую мы очень хотели осветить - это Container specific OS и мы до последнего не сдавались искали контент про это.

- ОС Talos Linux - путь к "тому самому" харденингу инфраструктуры для k8s (Николай Панченко, Тинькофф)
- Контейнерная ОС Flatcar: как обмазаться докерами и забыть про пакеты (Александр Кондратьев, BI.ZONE)

Билеты можно купить тут.

Privilege escalation in AWS Elastic Kubernetes Service – очень интересная статья про повышение привилегий и закрепление в EKS кластере.

Для начала автор затрагивает интересный момент: с скомпроментированного пода, можно достучаться до AWS metadata для получения информации об IAM. По сути, это означает, что независимо от того какие привилегии имеет под, он имеет те же возможности в AWS, что и EC2.

Сам вектор построен на использовании system:node token, но просто так использовать его не получится – он ограничен механизмом NodeRestriction. Автор в деталях показывает как можно повысить свои права в кластере, получив cluster-admin. После этого также затрагивается техника для закрепления, через указание IAM роли и без создания дополнительных Kubernetes Resources.

В качестве remedations предлагается использовать функцию AWS IMDSv2, перенос ненадежных микросервисов на изолированную Node (концепция DMZ) и отключение доступа из вне к Kubernetes API.

Серия из 26 роликов для подготовки к Certified Kubernetes Security Specialist (CKS)! Сам гайд для подготовки от того же автора тут.

P.S. Ближайшие 2 дня я в Москве на PHDays! Буду рад встретиться в IRL или AFK, кому что ближе и пообщаться)

Having fun with seccomp profiles on the edge – новая заметка в официальном блоге Kubernetes.

Заметка в первую очередь посвящена Security Profles Operator (о котором мы не раз рассказывали на канале – 1, 2, 3) а точнее новому функционалу, добавленному в версии v.0.8.0. Благодаря новому интерфейсу spoc, можно записывать и воспроизводить seccomp profiles.

Автор подробно на простом примере показывает работу новой фичи. Важно отметить, что использовать seccomp можно на любой Linux системе, а также встраиваться в CI/CD. Вообщем, если задумывались затащить к себе seccomp – обязательно к прочтению.

Заметка "Debugging Kubernetes Nodes With Kubectl" раскрывает, как оказалось, для многих мало известный момент с отладкой Nodes через kubectl, без необходимости иметь там SSH доступ.

Есть ряд моментов, что нужно помнить при использовании этого:
- kubectl debug автоматически создает Pod с именем Node
- Корень хостовой ФС монтируется в /host
- Этот Pod запущен с host IPC, Network, PID namespaces, но не как privileged. Так что есть ограничения.

Классная вещь, которая может уменьшить attack surface за счет уменьшения запуска сторонних сервисах на Nodes k8s.

Container security fundamentals part 4: Cgroups – четвертая статья из цикла статей [1,2,3] про безопасность контейнеров от Rory McCune.

Автор затрагивает такие важные темы как:

– почему cgroups необходимы в контейнерах
– принципы работы cgroups
– использование cgroups для ограничения ресурсов
– использование cgroups для предотвращения fork bomb (DoS атак)
– использование cgroups для доступа к Linux devices

Конкурс!

Приз: Билеты на нашу конференцию "БЕКОН"

Задача: С использованием новомодных генеративных AI класса text-to-image, сгенерировать картинки на тему безопасности контейнеров, Kubernetes и рядом стоящих тем. Можно использовать любую сетку что у вас есть: Midjourney, Dall-E, Stable Diffusion, Kandinsky, Шедеврум и т.д. Результаты прикреплять к комментариям к данному посту вместе с указанием самого promt, что использовался для генерации =)

Работы будем принимать и оценивать до 31 мая.

Самые оригинальные, интересные, впечатляющие работы будут отмечены!

P.S. О самой конфе написали статью на Хабре.

Видео выступления "Kubernetes Security Detection Engineering" c конференции HITB 2023 Amsterdam от автора учебного/тренировочного проекта Kubernetes Goat. По большому счету, на основании заготовленных там сценариев автор и показывает как это можно обнаруживать. Все достаточно простенько, но для общего понимания пойдет.

Using OCI artifacts to distribute security profiles for seccomp, SELinux and AppArmor – очередная статья в блоге Kubernetes, посвященная Security Proifles Operator.

На этот раз автор затрагивает очень интересный момент, а именно хранение профилей в OCI registries. В последней версии оператора была добавлена функция, позволяющая складывать профили в registries. Сейчас оператор поддерживает довольно большой список:

– CNCF Distribution
– Azure Container Registry
– Amazon Elastic Container Registry
– Google Artifact Registry
– GitHub Packages container registry
– Bundle Bar
– Docker Hub
– Zot Registry

На примере seccomp профиля автор показывает как легко, с помощью baseProfileName, можно сослаться на такой артефакт, а также как доставить его до registries.