Kubernetes攻击频发，如何避免集群“裸奔”

白帽黑客啊一

于 2024-06-22 14:00:00 发布

阅读量612

点赞数 22

文章标签： kubernetes 容器云原生网络安全网安入门 web安全安全

本文链接：https://blog.csdn.net/2401_84466224/article/details/139826105

版权

Kubernetes（K8S）是一个可移植、可扩展的开源平台，用于管理容器化的工作负载和服务，方便进行声明式配置和自动化。一个Kubernetes集群通常包含跨多台计算机运行的控制平面和多个工作节点（node），控制平面用于管理集群中的node，node用于运行工作负载。

Kubernetes架构图

自从2014年首次发布以来，Kubernetes受到了越来越多的关注和广泛的应用。目前，它已成为云原生应用程序开发和部署的标准之一，被许多大型企业和组织广泛采用，如谷歌、微软、亚马逊、IBM、阿里巴巴、腾讯等。根据CNCF的调查显示，截至2021年11月，全球有超过90%的企业和组织正在使用Kubernetes进行容器编排和管理。

针对Kubernetes的攻击愈演愈烈

近年来，针对K8S的攻击事件逐渐增加，成为了安全领域的一个重要话题。根据一些安全厂商和研究机构的报告，K8S的攻击事件占比情况如下：

Trend Micro发布的《2021年1-6月全球云安全报告》显示，2021年上半年，云容器和Kubernetes攻击的比例达到了43%。攻击者的目的是获取敏感信息、窃取凭据、传播恶意软件等。

Aqua Security发布的《2020年云原生安全报告》中指出，针对Kubernetes的攻击事件在2020年增长了26%。其中，最常见的攻击包括未经身份验证的访问、挖矿、拒绝服务、数据泄露等。

CNCF（Cloud Native Computing Foundation）发布的《2021年技术调查报告》中指出，65%的受访者认为容器和Kubernetes面临的安全风险是他们使用云原生技术时最大的担忧之一。另外，55%的受访者认为Kubernetes容易受到攻击。

综合来看，K8S的攻击事件在近几年逐渐增加，攻击手段和目的也越来越多样化和复杂化。

常见的Kubernetes威胁来源

在针对K8S的攻击日益激烈的情况下，攻击来源也表现出了多样化，根据调研目前它正面临着来自供应链、恶意攻击者、内部成员的攻击以及黑客组织等的威胁。

1、供应链风险

供应链包含构成最终产品的任何元素，从组件到用于管理集群的第三方服务或软件，这些风险有很多来源，而且通常很难解决。

在 2019 年，Harbor作为一个Kubernetes基础架构下的开源仓库，其曾遭受到了供应链攻击。攻击者通过Harbor的供应链漏洞，注入恶意Docker镜像，这些镜像被部署在Kubernetes集群中，最终导致Kubernetes集群的安全受到威胁。

2、恶意攻击者

恶意攻击者可以利用Kubernetes架构组件中的漏洞和错误配置，例如控制平面、工作节点或容器化应用程序。

2018年，黑客入侵了Tesla公司的Kubernetes集群，并利用集群中的计算资源进行加密货币挖掘。这次攻击的原因是由于Tesla在使用Kubernetes时未采取适当的安全措施。

3、内部威胁

内部威胁可以是管理员、用户，甚至是云服务提供商。对组织的Kubernetes基础设施具有特殊访问权限的内部人员可能会滥用这些特权。

2019年，加拿大的电商平台Shopify遭受了内部员工的K8S攻击。该员工修改了K8S配置文件，使得攻击者能够在Shopify的K8S集群中创建新的管理用户，并窃取用户数据。

Kubernetes攻击面

K8S作为一种开源的容器编排平台，已经成为了云原生应用开发和部署的重要基础设施之一。但同时，K8S也因其高度复杂的架构和众多组件，成为了攻击者攻击的目标之一。那么，攻击者采用何种方式攻击K8S？

以下是微软官方在2021年给出的K8S威胁矩阵图，详细地呈现了攻击者在每个阶段使用的技术，从左到右通过执行每个阶段的攻击方式也呈现了成果扩大的过程。

随着攻击技术的发展，每个攻击阶段的攻击技术也更加丰富。接下来对K8S攻击过程中的一些重要攻击阶段进行详细介绍。

初始访问（Initial Access）

初始访问是指攻击者在进入系统前获得的第一步访问权限。在Kubernetes中，攻击者可以通过多种方式进行初始访问。其中，一种常见的方式是通过针对公网暴露的Kubernetes API Server进行攻击。

另外攻击者还常用容器内漏洞入侵、kubeconfig file泄露、etcd未授权访问、恶意镜像等方式，进行前期的信息收集工作，以获得初始权限。

命令执行（Execution）

在Kubernetes中，命令执行通常是指攻击者通过各种手段在容器或节点上执行任意命令。比如攻击者可通过容器中运行的SSH服务执行命令，如果攻击者通过暴力破解或者其他方法获得了容器的有效凭证，他们就可以通过SSH获得对容器的远程访问。

另外，如果容器自身存在漏洞，那么攻击者也会通过漏洞执行命令。命令执行方式多种多样，常见的执行命令的攻击还有创建后门Pod、利用API Server执行命令、通过Sidecar注入执行命令、通过curl执行容器命令等。

权限维持（Persistence）

在Kubernetes中，攻击者利用权限维持来获取对系统的长期控制。例如，攻击者可以通过向容器镜像中添加恶意代码来创建一个具有相同标签的deployment或ReplicaSet。这样，当新的Pod创建时，它将自动更新为攻击者的容器镜像。攻击者可以在该容器中添加后门或其他恶意代码，以确保他们在以后的访问中能够维持其权限。

针对权限维持的其它利用方式包括挂载主机路径、K8s cronjob、Shadow API Server等，这些攻击方式常常被攻击者使用。

权限提升（Privilege Escalation）

Kubernetes中的权限提升攻击是指攻击者通过各种手段提升其在集群中的权限。一旦攻击者成功地提升了其权限，就可以对整个集群进行更多的攻击，比如访问其他资源、执行恶意代码等。例如，攻击者可以创建一个特权容器，该容器可以访问宿主机上的资源，并在该容器内执行命令，从而使其获得更高的权限。

另外，挂载根目录逃逸、容器内访问Docker.sock逃逸、docker漏洞逃逸、篡改ServiceAccount等方式也被经常使用。

横向移动（Lateral Movement）

横向移动是指攻击者利用已经获得的某个系统或账户的权限，在整个网络中移动并寻找其他系统或账户，以便进一步扩大攻击面和获取更高的权限。在Kubernetes中，攻击者可以利用各种漏洞和配置错误来获取对一个或多个节点的访问权限，然后通过控制这些节点来进行横向移动。

例如，攻击者可以通过利用kubelet的漏洞或未经授权的凭据访问节点，并在这些节点上启动恶意容器或修改已有容器的配置。一旦攻击者获得了节点的访问权限，他们可以扫描网络并寻找其他容器或节点，以便进一步扩大攻击范围。其它的横向攻击方式有通过容器逃逸进行横向、Cluster内网渗透、窃取凭证攻击云服务等。

总的来说，攻击者可以通过利用K8S集群内各组件的漏洞或者未经适当保护的访问权限来进一步深入攻击，这可能会导致敏感数据泄露、服务中断、系统崩溃等严重后果。

ITDR保护K8S集群

针对K8S的攻击日益激烈，如何避免K8S不被攻击值得大家思考，保护K8S中的敏感数据意义重大。为了保护您的K8S集群，可采用中安网星的ITDR平台进行全方位的保护。

ITDR（身份威胁检测与响应）平台是中安网星推出的针对身份威胁检测与响应高级威胁分析平台。主要围绕Identity及Infrastructure为核心进行防护，涵盖主流身份基础设施及集权设施，围绕从攻击的事前加固、事中监测，事后阻断出发，产品的设计思路覆盖攻击者活动的全生命周期。

事前，利用ITDR内置引擎对K8S集群中的不合理配置项、K8S相关的历史漏洞进行主动发现，在遭受恶意攻击之前，提前加固K8S集群，不给攻击者以可乘之机。

事中，通过融合图计算、身份欺骗等技术，对K8S进行全方位的监测，及时发现针对K8S的漏洞利用、身份窃取等风险，在遭受攻击的第一时间及时发现攻击者，对攻击行为进行阻断。结合威胁狩猎思想，将身份蜜罐技术应用于ITDR平台中，为反制攻击者提供保证。

事后，对攻击事件进行取证调查，禁用不合理的用户，清理危险的凭据，根据基线事件对K8S进行加固。

All in one：中安网星ITDR平台能力持续演进与突破

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；
国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2021年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。