Segurança de Cloud / Container / Kubernetes

AÇÃO NECESSÁRIA (Execute imediatamente após a leitura)

1. NOW: Leia ../field-journal/precedent-pentest.md — Testes em Cloud/K8s exigem autorização por escrito
2. NOW: case-init + escopo; defina limites de conta, proíba operações destrutivas
3. NOW: Confirme se é metadados de cloud / container / K8s / IAM, e não varredura web comum (esta última pentest-tools/)
4. NEXT: tool-index; kubectl/aws/gcloud, etc., são frequentemente instalados manualmente
5. ACT: Comece por "Identidade e Superfície de Exposição", proíba varreduras globais por padrão

Cenários de Aplicação

• SSRF de metadados de cloud (169.254.169.254 / IMDS)
• Permissões excessivas de IAM, buckets públicos, grupos de segurança mal configurados
• Avaliação de caminhos de escape de Docker/containerd
• RBAC do Kubernetes, Secrets, Admission, imagens da cadeia de suprimentos
• Vulnerabilidades em imagens de container (pode ser vinculado a supply-chain-security/)

Fluxo de Trabalho

Fase 1 — Identidade e Limites

□ 当前身份：云 AK/SK、K8s SA、节点 SSH？
□ 范围：单账号 / 单 cluster / 单 namespace
□ 网络档：authorized_target_only

Fase 2 — Plano de Controle da Cloud

# 示例（按厂商替换；MUST 在授权账号内）
aws sts get-caller-identity
aws s3 ls
# Azure / GCP 对应 identity 命令

□ 公开桶 / 错误 ACL
□ 元数据：IMDSv1 vs v2；SSRF 链
□ 角色可扮演（PassRole）与横向

Fase 3 — Container

□ 是否 privileged / hostPath / hostNetwork
□ capabilities（SYS_ADMIN 等）
□ 可写宿主机路径 → 逃逸候选
□ 镜像历史与已知 CVE → Trivy

Fase 4 — Kubernetes

kubectl auth can-i --list
kubectl get pods,secrets,svc -A
kubectl get clusterrolebindings

□ SA token 挂载与权限
□ 危险 admission webhook 缺失
□ etcd / dashboard 暴露
□ 网络策略是否默认放行

Cadeia de Ferramentas

Referências

• references/k8s-cloud-checklist.md
• Comparativo CTF: ../../CTF-Sandbox-Orchestrator/competition-agent-cloud/
• ../supply-chain-security/ ../pentest-tools/

Contexto de Roteamento

Upstream: MASTER R23
Downstream: Obter shell do nó → attack-chain / windows-ad; Vulnerabilidades em imagens → supply-chain
NÃO FAZER: Varredura não autorizada de outros inquilinos de nuvem pública

Autoverificação de Conclusão da Tarefa

• Está limitado à conta/cluster autorizado?
• As descobertas incluem reprodução e impacto?
• Evitou operações destrutivas?
• Relatório / journal?