Detecção de Escalada de Privilégios em Pods do Kubernetes

Visão Geral

Escalada de privilégios no Kubernetes ocorre quando um pod ou contêiner ganha permissões elevadas além de seu escopo pretendido. Isso inclui rodar como root, usar modo privilegiado, montar sistemas de arquivos do host, habilitar capacidades perigosas do Linux ou explorar vulnerabilidades do kernel. A detecção combina controle de admissão (prevenção), monitoramento em tempo de execução (detecção) e logs de auditoria (investigação).

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de escalada de privilégios em pods do Kubernetes
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Cluster Kubernetes v1.25+ (suporte a Pod Security Admission)
• kubectl com acesso cluster-admin
• Falco ou ferramenta similar de segurança em tempo de execução
• OPA Gatekeeper ou Kyverno para políticas de admissão

Vetores de Escalada de Privilégios no Kubernetes

Detecção com Controle de Admissão

Pod Security Admission (Integrado)

# Enforce restricted policy on namespace
apiVersion: v1
kind: Namespace
metadata:
  name: production
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: latest
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/warn: restricted

Políticas OPA Gatekeeper

# Block dangerous capabilities
apiVersion: templates.gatekeeper.sh/v1
kind: ConstraintTemplate
metadata:
  name: k8sdangerouspriv
spec:
  crd:
    spec:
      names:
        kind: K8sDangerousPriv
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8sdangerouspriv

        dangerous_caps := {"SYS_ADMIN", "SYS_PTRACE", "SYS_MODULE", "DAC_OVERRIDE", "NET_ADMIN", "NET_RAW"}

        violation[{"msg": msg}] {
          container := input.review.object.spec.containers[_]
          cap := container.securityContext.capabilities.add[_]
          dangerous_caps[cap]
          msg := sprintf("Container %v adds dangerous capability: %v", [container.name, cap])
        }

        violation[{"msg": msg}] {
          container := input.review.object.spec.containers[_]
          container.securityContext.privileged == true
          msg := sprintf("Container %v runs in privileged mode", [container.name])
        }

        violation[{"msg": msg}] {
          container := input.review.object.spec.containers[_]
          container.securityContext.allowPrivilegeEscalation == true
          msg := sprintf("Container %v allows privilege escalation", [container.name])
        }

        violation[{"msg": msg}] {
          input.review.object.spec.hostPID == true
          msg := "Pod uses host PID namespace"
        }

        violation[{"msg": msg}] {
          input.review.object.spec.hostNetwork == true
          msg := "Pod uses host network"
        }

Detecção em Tempo de Execução com Falco

# /etc/falco/rules.d/privesc-detection.yaml
- rule: Execução de Binário Setuid em Contêiner
  desc: Detecta a execução de binários setuid/setgid em um contêiner
  condition: >
    spawned_process and container and
    (proc.name in (su, sudo, newgrp, chsh, passwd) or
     proc.is_exe_upper_layer=true)
  output: >
    Binário setuid/setgid executado em contêiner
    (user=%user.name container=%container.name image=%container.image.repository
     command=%proc.cmdline parent=%proc.pname)
  priority: WARNING
  tags: [container, privilege-escalation, T1548]

- rule: Capacidade Ganha em Contêiner
  desc: Detecta quando um processo ganha capacidades elevadas
  condition: >
    evt.type = capset and container and
    evt.arg.cap != ""
  output: >

…