该专栏为热销专栏榜 第94名
超级会员免费看
本文深入探讨了云原生环境下的安全问题，从攻防演练的角度出发，详细阐述了如何在单容器环境内进行信息收集、容器网络的特性以及逃逸手法。文章介绍了不同阶段的攻击路径，包括利用kubeconfig文件获取权限、容器逃逸的各种方法，如利用CAPABILITIES、特权容器、cgroup、Docker API等。此外，还讨论了容器镜像安全、二次开发安全问题以及Serverless架构的安全挑战。整体内容揭示了云原生环境下的安全风险和防护策略的重要性。
1、攻防演练中的云原生安全
CNCF（云原生计算基金会 Cloud Native Computing Foundation）在对云原生定义的描述中提到“云原生的代表技术包括容器、服务网格、微服务、不可变基础设施和声明式API”；
我们今天所聊到的漏洞和利用手法也紧紧围绕着上述的几类技术和由云原生相关技术所演化出来的多种技术架构进行，包括但不限于容器、服务网格、微服务、不可变基础设施、声明式API、无服务架构、函数计算、DevOps等，并涉及研发团队在使用的一些云原生开源组件和自研、二次开发时常见的安全问题。
在实际的攻防中我们所进行的攻击路径并非完全契合在CIS2020上总结的攻击模型：
因为大部分情况下我们遇到的内网并非完全基于容器技术所构建的，所以内网的起点并不一定是一个权限受限的容器，但攻击的方向和目标却大同小异：为了获取特定靶标的权限、资金和数据，我们一般需要控制更多乃至全部的容器、主机和集群。
也由于业界云原生实践的发展非常迅速，虽然进入内网之后我们所接触的不一定是全是Kubernetes所编排下的容器网络和架构，但基于云原生技术所产生的新漏洞和利用手法往往能帮蓝军打开局面。<
订阅专栏 解锁全文
扫一扫
142
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
