Explorando rutas de ataques en kubernetes

Transcript

1. Explorando Rutas De Ataque en Kubernetes Por Xavier Llauca
2. ¿Quien soy yo? Cloud Security Engineer Mas de 4 años de experiencia trabajando en seguridad información/informática, los dos últimos años trabajando en devops. Speaker • AWS Community Day Colombia 2023 • KCD Guatemala 2023 • KCD El Salvador 2023 Proyectos (Colaboración GitHub) • Kubernetes Goat • GOAD (Game Of Active Directory) • Totally Insecure Web Application Project (TIWAP) Certificaciones
3. Agenda • Introducción y desafíos de seguridad en Kubernetes • OWASP Top 10 y Kubernetes • MITRE ATT&CK y Kubernetes • Preguntas y respuestas
4. Introducción
5. ¿Seguridad en Kubernetes? “Conoce a tu enemigo y conócete a ti mismo; en cien batallas, nunca saldrás derrotado” The Art Of War - Sun Tzu • Conócete a ti mismo: Evalúa tu entorno, tus políticas de seguridad y tus vulnerabilidades internas. • Conoce al enemigo: Comprende las amenazas y mejores prácticas de seguridad
6. ¿Conócete a ti mismo? Autor: Ashish Patel
7. ¿Conócete a ti mismo? Kubernetes on-premises? Cloud
8. Shared Responsibility Model Fuente: https://aws.github.io/aws-eks-best-practices/security/docs/
9. Desafíos de seguridad en Kubernetes
10. Informe sobre la seguridad de Kubernetes 2023 Autor: https://www.redhat.com/es/resources/state-kubernetes-security-report-2023
11. OWASP KubernetesTop 10
12. ¿Que es OWASP? Open Web Application Security Project (OWASP), una organización si fines de lucro, su objetivo es ayudar a la organizaciones a desarrollar, desplegar y mantener aplicaciones y servicios web seguros. • Investigación y documentación • Creación de herramientas y recursos • Educación y concientización • Establecimiento de Listas de Amenazas (OWASP Top 10) Web, Mobile, Kubernetes, API
13. Top 10 Kubernetes Risks - 2022 Fuente: https://owasp.org/www-project-kubernetes-top-ten/ K01: Configuraciones de carga de trabajo inseguras K02: Vulnerabilidades de la cadena de suministro K03: Configuraciones RBAC excesivamente permisivas K04: Falta de aplicación centralizada de políticas K05: Registro y supervisión inadecuados K06: Mecanismos de autenticación deficientes K07: Ausencia de Controles de Segmentación de Red K08: Fallos en la Gestión de Secretos K09: Componentes de clúster mal configurados K10: Componentes de Kubernetes obsoletos y vulnerables
14. ¿Como funciona? Descripción, prevención, mitigación y ejemplos de escenario de ataque. • K10: Componentes de Kubernetes obsoletos y vulnerables • Ejecución de código remoto (RCE) • K07: Segmentación de redes • Movimientos laterales “Pods capaces de conectarse a pods no relacionados en un espacio de nombres diferente "
15. Ejemplo :)
16. MITRE ATT&CK™ y Kubernetes
17. ¿Que es MITRE ATT&CK? • MITRE ATT&CK® es una base de conocimientos que contiene tácticas y técnicas de ataques de Ciberseguridad. • Son acciones ofensivas que pueden ser utilizadas en contra de una plataforma o sistema
18. Conceptos Básicos Grupo Adversario Técnicas Software Tácticas Utiliza Utiliza Logra Implementa Táctica: El objetivo táctico del atacante “Para qué” Técnica: La manera de Ejecución de la táctica “Como” Software: Las herramientas utilizadas “Que” Grupo: Los “Actores” adversarios “Quién”
19. Threat matrix for Kubernetes Fuente: https://microsoft.github.io/Threat-Matrix-for-Kubernetes/
20. Mitigaciones - Application exploit (RCE) Fuente: https://microsoft.github.io/Threat-Matrix-for-Kubernetes/
21. Operación: SCARLETEEL Fuente: https://sysdig.com/blog/cloud-breach-terraform-data-theft/
22. ¿Y AHORA AAAA? • Son efectivas son mis defensas? • Cual es la forma de evaluación de las defensas? • Qué calidad y utilidad poseen los datos que estoy recolectando? • Es posible detectar Amenazas Avanzadas Persistentes? • La Seguridad debe estar incluida en todo el ciclo de vida del proceso de desarrollo del software
23. Como integrar MITRE & OWASP
24. Preguntas?
25. Links útiles Kubernetes Security Cheat Sheet EKS Best Practices Guides Best Practices for Azure Kubernetes Service Google Kubernetes Engine Security Best Practices
26. Conéctate conmigo https://linktr.ee/xllauca
27. Gracias por tu tiempo