Auditoria de Escalação de Privilégio RBAC do Kubernetes

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. Enumerar e exercer permissões RBAC afeta a postura de acesso de um cluster ativo. Teste apenas clusters que você possui ou para os quais está explicitamente autorizado por escrito a avaliar.

Visão Geral

O Controle de Acesso Baseado em Função (RBAC, MITRE ATT&CK T1078 Contas Válidas) do Kubernetes governa o que cada usuário e conta de serviço pode fazer através de regras Role/ClusterRole vinculadas por RoleBinding/ClusterRoleBinding. Como as cargas de trabalho são executadas com um token de conta de serviço montado por padrão, um invasor que compromete um pod herda os direitos RBAC dessa conta. Vinculações excessivamente permissivas transformam um único pod comprometido em uma tomada de controle do cluster: certos verbos e recursos são "equivalentes ao cluster-admin via RBAC".

De acordo com a orientação "Boas Práticas de RBAC" do Kubernetes e a pesquisa da Unit 42, os primitivos perigosos são:

• escalate em roles — conceda a si mesmo qualquer permissão, mesmo aquelas que você não possui.
• bind em clusterroles — crie uma vinculação para cluster-admin.
• impersonate em usuários/grupos/contas de serviço — atue como qualquer sujeito, incluindo system:masters.
• create/update/patch em pods — agende um pod privilegiado ou monte o nó, escapando para o host (T1611).
• create em pods/exec, pods/attach, pods/ephemeralcontainers — execute código em qualquer pod existente.
• get/list/watch em secrets — a listagem retorna o conteúdo completo de segredos, incluindo outros tokens de conta de serviço.
• create em serviceaccounts/token — crie tokens para contas mais privilegiadas.
• update/patch em validatingwebhookconfigurations/mutatingwebhookconfigurations, nodes/proxy, certificatesigningrequests/approval — abuso de admissão/CSR para cluster-admin.
• Wildcards (verbs: ["*"], resources: ["*"]) — superprivilégio implícito.

Esta habilidade enumera sistematicamente as permissões efetivas para cada sujeito, mapeia quais sujeitos detêm esses primitivos de escalonamento e produz evidências de remediação. Fonte: Boas Práticas de RBAC do Kubernetes; Pesquisa de RBAC do Kubernetes da Unit 42.

Quando Usar

• Durante uma avaliação de segurança autorizada do Kubernetes ou teste de penetração de cluster
• Após comprometer um pod, para determinar a que o token de sua conta de serviço pode acessar
• Ao revisar o desvio de RBAC antes de um lançamento em produção
• Ao validar o privilégio mínimo após uma migração de plataforma ou implantação do Helm

Pré-requisitos

• kubectl configurado contra o cluster de destino (suas próprias credenciais ou um token de conta de serviço capturado)
• Acesso de leitura a objetos RBAC (a maioria das auditorias é executada com um contexto de cluster-reader ou admin)
• Ferramentas de auditoria:

  # rbac-police - find escalation paths (Cymulate)
  curl -L https://github.com/PaloAltoNetworks/rbac-police/releases/latest/download/rbac-police-linux-amd64 -o rbac-police
  chmod +x rbac-police
  
  # kubectl-who-can - which subjects can perform an action (Aqua)
  kubectl krew install who-can
  
  # rakkess - access matrix of resources x verbs for the current/another subject
  kubectl krew install access-matrix
  
  # rbac-lookup - which roles a subject has (FairwindsOps)
  kubectl krew install rbac-lookup
  

Objetivos

• Inventariar todos os objetos Role, ClusterRole, RoleBinding e ClusterRoleBinding
• Enumerar permissões efetivas por sujeito usando kubectl auth can-i --as
• Identificar sujeitos que detêm primitivos equivalentes a admin via RBAC
• Rastrear pods que montam tokens para contas de serviço superprivilegiadas
• Demonstrar (em um laboratório) um caminho de escalonamento de ponta a ponta
• Gerar um relatório de descobertas priorizado com remediação de privilégio mínimo

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

Etapa 1: Inventário de Objetos RBAC

# Todos os roles e bindings, em todo o cluster
kubectl get clusterroles,clusterrolebindings -o wide
kubectl get roles,rolebindings --all-namespaces -o wide

# Dump completo de RBAC para análise offline
kubectl get clusterroles,clusterrolebindings,roles,rolebindings \
  --all-namespaces -o yaml > rbac-dump.yaml

# Quem está vinculado ao cluster-admin?
kubectl get clusterrolebindings -o json | \

…