Кейс: скомпрометирован под
Вопрос
В поде веб-приложения нашли выполнение кода. Что атакующий может сделать дальше и какие меры заранее ограничили бы ущерб?
Попробуйте сами
Ответьте вслух за 2 минуты, как на собесе. Потом сверьтесь с тезисами: что прозвучало, а что нет.
Показать ответ и разбор
Коротко
Что должно прозвучать в ответе
Токен сервисного аккаунта и доступ к API Kubernetes; минимальные права, отключить автомонтирование
Метаданные облака и роль узла; IMDSv2, блок адреса, отдельные роли сервисов
Боковое перемещение по плоской сети к базам и другим сервисам; NetworkPolicy
Побег на узел через привилегии, hostPath, docker.sock; restricted Pod Security
Секреты в переменных окружения и файлах; внешнее хранилище, короткоживущие учётные данные
Обнаружение: аудит-логи, runtime-мониторинг, алерты на необычные процессы и запросы
Что могут спросить следом
- С чего вы начнёте реагирование?
- Как проверить, что атакующий не закрепился в кластере?
Разбор
Образцовый ответ: «Первое, что сделает атакующий: прочитает переменные окружения и смонтированные секреты, затем возьмёт токен сервисного аккаунта и спросит API Kubernetes, что ему можно. Если права широкие, он прочитает секреты кластера или создаст привилегированный под и выйдет на узел. Параллельно он пойдёт на 169.254.169.254 за ролью узла и просканирует плоскую сеть до баз. Заранее это ограничивают: минимальные права сервисного аккаунта и отключённое автомонтирование токена, IMDSv2 с hop limit и отдельные роли сервисов, NetworkPolicy «запретить всё», Pod Security уровня restricted, секреты из внешнего хранилища с коротким сроком жизни. И обнаружение: аудит API-сервера и runtime-мониторинг вроде Falco поймают необычные процессы и обращения к API».
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.