Play with 🐐 in Kubernetes

by Kyohei Mizumoto

Slide 1

Slide 1 text

Play with 🐐 in Kubernetes @kyohmizu

Slide 2

Slide 2 text

whoami 株式会社スリーシェイク Sreake事業部 SRE/CSIRT - AWS, GCP, kubernetes - 脆弱性・アラート管理基盤の構築と運用 - セキュリティ運用改善（IaC, 自動化ツール作成など） - IAM設計、脅威情報の収集、サイバー演習 etc… イベント - 3-shake SRE Tech Talk 運営 - CloudNative Days 実行委員（~2021）水元恭平 @kyohmizu

Slide 3

Slide 3 text

今回は、Kubernetes Goat で遊んでみると楽しいですよ、というお話です

Slide 4

Slide 4 text

Kubernetes Goat?

Slide 5

Slide 5 text

= やられ Kubernetes 環境 https://madhuakula.com/kubernetes-goat/ https://github.com/madhuakula/kubernetes-goat ✅ 脆弱な Kubernetes クラスタとアプリケーション群 ✅ 様々な環境で利用可能（AWS, GCP, k3s, kind など） ✅ シナリオに沿って、演習形式でセキュリティを学べる

Slide 6

Slide 6 text

セットアップはとても簡単 # 環境構築（kind） # https://madhuakula.com/kubernetes-goat/docs/how-to-run/kind git clone https://github.com/madhuakula/kubernetes-goat.git cd kubernetes-goat/platforms/kind-setup bash setup-kind-cluster-and-goat.sh # Kubernetes Goat home へのアクセス # https://madhuakula.com/kubernetes-goat/docs/getting-started cd ../.. bash access-kubernetes-goat.sh

Slide 7

Slide 7 text

シナリオ一覧 ✅ Sensitive keys in codebases ✅ DIND (docker-in-docker) exploitation ✅ SSRF in the Kubernetes (K8S) world ✅ Container escape to the host system ✅ Docker CIS benchmarks analysis ✅ Kubernetes CIS benchmarks analysis ✅ Attacking private registry ✅ NodePort exposed services ✅ Helm v2 tiller to PwN the cluster - [Deprecated] ✅ Analyzing crypto miner container ✅ Kubernetes namespaces bypass ✅ Gaining environment information ✅ DoS the Memory/CPU resources ✅ Hacker container preview ✅ Hidden in layers ✅ RBAC least privileges misconfiguration ✅ KubeAudit - Audit Kubernetes clusters ✅ Falco - Runtime security monitoring & detection ✅ Popeye - A Kubernetes cluster sanitizer ✅ Secure network boundaries using NSP

Slide 8

Slide 8 text

個人的に気になったシナリオについて、ネタバレしない程度にご紹介

Slide 9

Slide 9 text

Container escape to the host system https://madhuakula.com/kubernetes-goat/docs/scenarios/scenario-4 ✅ 定番とも言えるコンテナエスケープを体験する ✅ 初級者向けだが事前知識は必要 ✅ より高度なテクニックや、脆弱性を突く攻撃もある ✅ サンプルコマンド動かないかも

Slide 10

Slide 10 text

Analyzing crypto miner container https://madhuakula.com/kubernetes-goat/docs/scenarios/scenario-10 ✅ クリプトマイナーもよく話題に上がるテーマ ✅ コンテナ内で不正なプロセスを発見する方法を学ぶ ✅ 実行を防ぐ側の視点で考えてみるのも面白い

Slide 11

Slide 11 text

Hacker container preview https://madhuakula.com/kubernetes-goat/docs/scenarios/scenario-14 ✅ コンテナ内での情報摂取、攻撃や診断に使えるツール群 ✅ 色々と触ってみよう ✅ 環境を変えて試してみるとなお良し kubectl run -it hacker-container \ --image=madhuakula/hacker-container -- sh