防堵路徑遍歷與 DoS 的叢集強化

– 5 分鐘閱讀

在 Kubernetes 叢集的維運中，安全性是重中之重。我將探討兩個關鍵漏洞：kubectl cp 路徑遍歷漏洞 (CVE-2019-11246) 和 JSON 解析 DoS 攻擊 (CVE-2019-1002100)，並分享我多年來的 Kubernetes 安全強化經驗，提供一些實務策略，協助您開發更安全的叢集環境。

kubectl cp 路徑遍歷漏洞 (CVE-2019-11246)

這個漏洞允許攻擊者透過精心設計的 TAR 封存檔，利用 kubectl cp 命令在目標容器內植入惡意程式，甚至覆寫系統檔案。 試想一下，一個看似無害的檔案上傳操作，卻暗藏著系統被控制的風險，這是多麼可怕的場景！

  graph LR
A[攻擊者] --> B{修改 TAR 封存檔};
B --> C(上傳至叢集);
C --> D((容器檔案系統被竄改));

此圖表簡述了 kubectl cp 路徑遍歷漏洞的攻擊流程，從攻擊者修改 TAR 封存檔開始，到最終容器檔案系統被竄改。

以下是我建議的防禦策略：

  • 隨時保持 kubectl 版本更新： 這絕對是最基本的防禦措施。使用 curl https://storage.googleapis.com/kubernetes-release/release/stable.txt 檢查最新版本，並立即更新。

  • 利用 Admission Controller 限制 kubectl cp： Open Policy Agent (OPA) 是個強大的工具，可以作為 Admission Controller，精細地控制 kubectl cp 的使用。以下範例策略直接禁止所有 kubectl cp 操作：

deny[reason] {
  input.request.kind.kind == "PodExecOptions"
  input.request.resource.resource == "pods"
  input.request.subResource == "exec"
  input.request.object.command[0] == "tar"
  reason = sprintf("kubectl cp 操作被禁止，由 %v 在 %v/%v 執行", [
    input.request.userInfo.username,
    input.request.namespace,
    input.request.object.container,
  ])
}

這個 OPA 策略透過檢查 PodExecOptions 請求，判斷是否正在執行 tar 命令，從而禁止 kubectl cp 操作。 您可以根據需求修改策略，例如允許特定使用者或名稱空間使用 kubectl cp。

  • 嚴格控管客戶端存取許可權： 建議使用專用硬體，讓管理員透過 SSH 存取 Kubernetes 叢集，並確保敏感資料受到嚴格的存取控制保護。 不要讓未經授權的人員有機會接觸到您的 kubectl 工具！

  • 設定所有 Pod 的安全上下文： 將 Pod 的 readOnlyRootFilesystem 設為 true，讓容器的根檔案系統變成唯讀，有效防止惡意程式碼修改系統檔案。

spec:
  securityContext:
    readOnlyRootFilesystem: true

readOnlyRootFilesystem: true 設定可以讓容器的根檔案系統變成唯讀狀態，防止檔案被修改或覆寫，大幅提升安全性。

  • 使用 Falco 偵測檔案系統異動： Falco 是一款優秀的執行時安全工具，可以監控容器內的檔案系統活動。設定 Falco 規則 Write below monitored dir 來偵測對受監控目錄的寫入操作，並設定規則來偵測易受攻擊的 kubectl 版本的使用。

JSON 解析 DoS 攻擊 (CVE-2019-1002100)

這個漏洞利用了 kube-apiserver 在 JSON 解析上的缺陷，攻擊者可以傳送惡意 JSON Patch 請求，導致 API 伺服器資源耗盡，最終造成 DoS 攻擊。 想像一下，您的 API 伺服器突然變得反應遲鈍，所有服務都無法正常運作，這就是 DoS 攻擊的威力！

以下是一些防禦措施：

  • 密切監控資源使用狀況： 使用 Prometheus 和 Grafana 等監控工具，密切關注 Master 節點的記憶體、CPU 和網路使用情況。任何異常都可能是攻擊的徵兆。

  • 開發高用性 Kubernetes Master 架構： 高用性架構可以有效抵禦 DoS 攻擊。當一個 Master 節點過載時，其他節點可以接管，確保服務持續執行。使用 kops 建立叢集時，可以使用 --master-zones={zone1, zone2} 設定多個 Master 節點。

kops create cluster ... --master-zones $ZONES ...

--master-zones 引數允許您將 Master 節點分散到不同的可用區域，提高叢集的容錯能力和高用性。

持續關注安全公告，深入瞭解技術細節，並實施這些防禦策略，才能有效強化 Kubernetes 叢集的安全性，並及時應對新發現的漏洞。

透過這些實務策略，您可以有效強化 Kubernetes 叢集的安全性，降低遭受攻擊的風險。時刻保持警惕，持續學習新知識，才能在瞬息萬變的網路安全環境中確保叢集的安全穩定執行。

保護 Kubernetes 叢集的安全需要多層次的策略。本文將探討 Kubernetes CVE 的重要性，並分享一些強化叢集安全的最佳實務。

理解 Kubernetes CVE：不同角色的視角

Kubernetes CVE（Common Vulnerabilities and Exposures）是公開的漏洞識別碼，對於叢集管理員、安全研究人員和攻擊者都至關重要。

  • 叢集管理員： 最關心受影響的 Kubernetes 版本、漏洞的嚴重程度以及可用的緩解措施或修補程式。
  • 安全研究人員： 關注漏洞的技術細節、根本原因和可能的利用方式，以便開發偵測和預防方法。
  • 攻擊者： 則試圖利用 CVE 條目中的資訊來尋找可攻擊的系統，並開發利用漏洞的攻擊程式碼。
  graph LR
    A[CVE 條目] --> B(叢集管理員)
    A --> C(安全研究人員)
    A --> D(攻擊者)

此圖表顯示 CVE 條目如何影響 Kubernetes 生態系統中的不同角色。

客戶端安全漏洞：CVE-2019-11246 案例分析

CVE-2019-11246 是一個影響 kubectl 工具的客戶端安全漏洞。儘管看似隻影響客戶端，但它允許惡意伺服器在使用者不知情的情況下執行任意程式碼。這突顯了客戶端安全的重要性，因為即使叢集本身安全，受感染的客戶端也可能成為攻擊的入口。

拒絕服務攻擊：kube-apiserver 的 DoS 問題

kube-apiserver 是 Kubernetes 叢集的控制平面，任何針對它的拒絕服務攻擊都會導致整個叢集無法運作。

已驗證與未驗證的 DoS 攻擊

  • 已驗證的 DoS 攻擊： 需要攻擊者先取得叢集的存取許可權。
  • 未驗證的 DoS 攻擊： 允許攻擊者無需任何身份驗證即可使 kube-apiserver 無法使用，威脅更大。

Kube-hunter：自動化安全漏洞掃描

Kube-hunter 是一個開源工具，可以自動掃描 Kubernetes 叢集中的安全漏洞，協助叢集管理員主動發現潛在問題。

  graph LR
A[Kube-hunter] --> B(掃描叢集)
B --> C{發現漏洞?}
C --Yes--> D[發出警示]
C --No--> E[叢集安全]

此圖表展示了 kube-hunter 的工作流程：掃描叢集、發現漏洞並發出警示。

Kubernetes 安全強化最佳實務

除了使用 kube-hunter，以下是一些強化 Kubernetes 叢集安全的最佳實務：

  • RBAC 設定： 限制使用者許可權，遵循最小許可權原則。
  • 網路政策： 控制 Pod 間的網路流量，減少攻擊面。
  • Pod 安全性策略： 限制容器的許可權和功能，防止許可權提升攻擊。
  • 資源限制： 確保叢集穩定性，防止資源耗盡。
  • 秘密管理： 使用 Vault 等工具安全地儲存和管理敏感資訊。
  • 威脅建模： 使用 STRIDE 和 PASTA 等模型來識別和減輕潛在威脅。
  • 持續監控： 使用 Prometheus 和 Grafana 等工具監控資源使用情況和安全事件。
  graph LR
    A[RBAC] --> B(網路政策)
    B --> C{Pod 安全性策略}
    C --> D(資源限制)
    D --> E(秘密管理)
    E --> F[威脅建模]
    F --> G(持續監控)

此圖表展示了 Kubernetes 安全強化策略的關鍵步驟。

透過遵循這些最佳實務並隨時瞭解最新的安全威脅，您可以有效降低風險並確保叢集的安全性和穩定性。在我的經驗中，主動的安全措施和定期的漏洞掃描對於維護強大的叢集安全至關重要。升級 kubectl 客戶端和 Kubernetes 版本永遠是叢集管理員的首要任務。此外，增加緩解策略來偵測和防止由尚未公開報告的類別似問題引起的漏洞利用也同樣重要。

總之，瞭解 Kubernetes 的安全模型並實施最佳實務對於保護叢集至關重要。透過結合多層次的防禦策略，您可以有效降低風險，確保叢集的穩定執行。

玄貓

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。