Безопасность контейнеров и Kubernetes

Задать в каждом namespace базовую политику deny-all на ingress и egress, затем разрешить только явные пары по меткам плюс egress к kube-dns. Выкатывать по одному namespace, наблюдая трафик, хранить политики в Git рядом с нагрузками и проверять связность тестами.

Это три профиля — privileged, baseline и restricted, — задающие, какие поля безопасности пода допустимы. Pod Security Admission применяет выбранный профиль на namespace в режиме enforce, audit или warn, и нарушающий под отклоняется при создании.

Сканер сопоставляет пакеты и библиотеки образа с базами уязвимостей и выдаёт известные CVE по severity. Базы пополняются уже после сборки, поэтому вчера чистый образ сегодня уязвим — нужно пересканировать хранимые образы и пересобирать на свежей базе.

Каждый бинарь в образе — код, который атакующий может переиспользовать. Distroless или минимальная база не содержит shell, пакетного менеджера и отладочных утилит, поэтому инструментов для следующего шага нет, а патчить нужно кратно меньше.

root в контейнере — это root хоста, отделённый лишь namespaces, поэтому взломанный процесс сразу получает больше прав, чем нужно. Непривилегированный UID и read-only корневая ФС блокируют установку пакетов, подмену бинарей и правку конфигов.

Role или ClusterRole перечисляет глаголы над ресурсами, а binding привязывает её к пользователю, группе или ServiceAccount. Least privilege — Role в namespace с явными глаголами. Wildcard или cluster-admin даёт всё в кластере, включая чтение секретов.

Убрать значения из образа и из Git — Kubernetes Secret закодирован base64, а не зашифрован. Включить шифрование etcd at rest через KMS-провайдера, подтягивать значения из внешнего хранилища, отдавать их в под смонтированными файлами, а не переменными окружения, и закрыть чтение через RBAC.

Всё состояние кластера доступно только через apiserver, который на каждый вызов выполняет аутентификацию, затем авторизацию RBAC, затем admission. Защита — отключить анонимный доступ, не публиковать его в интернет и шифровать etcd.

Контейнеры делят ядро с хостом, поэтому именно эта поверхность и есть граница любого побега. Сброс всех capabilities с возвратом только нужных убирает привилегированные операции, seccomp сужает набор доступных syscall, а AppArmor ограничивает доступ к файлам.

Сканирование описывает образ до запуска, а runtime-инструменты наблюдают живые syscall и события процессов на узле. Они отмечают запуск shell в контейнере, неожиданный exec, запись в чувствительные пути хоста или новые исходящие соединения.

По умолчанию под получает токен своего ServiceAccount, поэтому исполнение кода внутри даёт аутентифицированный доступ к API с правами этой учётной записи. Отключайте automountServiceAccountToken, если под не ходит в API, и привязывайте ServiceAccount узко.

Контейнер — процессы хоста, изолированные namespaces и cgroups на общем ядре, поэтому дефект ядра или послабление настроек достаёт до узла. Privileged, hostPath, hostPID и docker-сокет равны доступу к узлу, а недоверенным тенантам нужна изоляция на ВМ.

ClusterRoleBinding на роль с wildcard в ресурсах позволяет фронтенду из одного namespace читать любые секреты кластера. Замените её на Role в пределах namespace с явными ресурсами и глаголами, привяжите через RoleBinding и отключите automount токена.