Auditoria de RBAC em Clusters Kubernetes

Quando Usar

• Ao realizar avaliações de segurança de clusters Kubernetes (EKS, GKE, AKS ou auto-gerenciados)
• Ao validar que as políticas de RBAC aplicam o princípio do menor privilégio para usuários e contas de serviço
• Ao investigar potencial movimento lateral ou escalonamento de privilégios dentro de um cluster Kubernetes
• Quando auditorias de conformidade exigem documentação de controles de acesso e permissões
• Ao integrar novas equipes a um cluster compartilhado e definir políticas de RBAC apropriadas

Não use para auditoria de políticas de rede (use ferramentas de política de rede Cilium ou Calico), para escaneamento de imagens de contêineres (use Trivy ou Grype), ou para monitoramento de segurança em tempo de execução (use Falco ou Sysdig Secure).

Pré-requisitos

• kubectl configurado com permissões de cluster-admin ou de leitura equivalentes para o cluster alvo
• rbac-tool instalado (kubectl krew install rbac-tool ou binário do GitHub)
• KubiScan instalado (pip install kubiscan)
• Kubeaudit instalado (brew install kubeaudit ou de releases do GitHub)
• Acesso aos logs de auditoria do cluster para correlacionar descobertas de RBAC com acesso real à API

Fluxo de Trabalho

Passo 1: Enumerar ClusterRoles e Roles com Permissões Perigosas

Identifique roles com permissões de curinga, acesso a secrets, execução de pods ou capacidades de escalonamento.

# List all ClusterRoles with wildcard verb access
kubectl get clusterroles -o json | python3 -c "
import json, sys
data = json.load(sys.stdin)
for role in data['items']:
    name = role['metadata']['name']
    for rule in role.get('rules', []):
        verbs = rule.get('verbs', [])
        resources = rule.get('resources', [])
        if '*' in verbs or '*' in resources:
            print(f'ClusterRole: {name}')
            print(f'  Verbs: {verbs}')
            print(f'  Resources: {resources}')
            print(f'  API Groups: {rule.get(\"apiGroups\", [])}')
            print()
"

# Find roles that can read secrets
kubectl get clusterroles -o json | python3 -c "
import json, sys
data = json.load(sys.stdin)
for role in data['items']:
    name = role['metadata']['name']
    for rule in role.get('rules', []):
        resources = rule.get('resources', [])
        verbs = rule.get('verbs', [])
        if ('secrets' in resources or '*' in resources) and ('get' in verbs or 'list' in verbs or '*' in verbs):
            if not name.startswith('system:'):
                print(f'ClusterRole: {name} -> can access secrets (verbs: {verbs})')
"

# Find roles with pod/exec permissions (container escape risk)
kubectl get clusterroles -o json | python3 -c "
import json, sys
data = json.load(sys.stdin)
for role in data['items']:
    name = role['metadata']['name']
    for rule in role.get('rules', []):
        resources = rule.get('resources', [])
        if 'pods/exec' in resources or 'pods/*' in resources:
            print(f'ClusterRole: {name} -> has pods/exec access')
"

Passo 2: Auditar ClusterRoleBindings e RoleBindings

Revise os bindings para identificar quem tem acesso elevado e detectar atribuições de grupo excessivamente amplas.

# List all ClusterRoleBindings with the subjects
kubectl get clusterrolebindings -o json | python3 -c "
import json, sys
data = json.load(sys.stdin)
for binding in data['items']:
    name = binding['metadata']['name']
    role = binding['roleRef']['name']
    subjects = binding.get('subjects', [])
    for subject in subjects:
        kind = subject.get('kind', '')
        subj_name = subject.get('name', '')
        ns = subject.get('namespace', 'cluster-wide')
        print(f'{name} -> Role: {role} | {kind}: {subj_name} ({ns})')
" | sort

# Find bindings to cluster-admin
kubectl get clusterrolebindings -o json | python3 -c "
import json, sys
data = json.load(sys.stdin)
for binding in data['items']:
    if binding['roleRef']['name'] == 'cluster-admin':
        print(f\"Binding: {binding['metadata']['name']}\")
        for subject in binding.get('subjects', []):
            print(f\"  {subject.get('kind')}: {subject.get('name')} (ns: {subject.get('namespace', 'N/A')})\")
"

# Find bindings granting access to all authenticated users
kubectl get clusterrolebindings -o json | python3 -c "
import json, sys
data = json.load(sys.stdin)
for binding in data['items']:
    for subject in binding.get('subjects', []):
        if subject.get('name') in ['system:authenticated', 'system:unauthenticated']:
            print(f\"WARNING: {binding['metadata']['name']} grants {binding['roleRef']['name']} to {subject['name']}\")
"

…