Realizando Detecção de Fuga de Contêineres

Quando Usar

• Ao conduzir avaliações de segurança que envolvam a detecção de fuga de contêineres
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança através de testes práticos

Pré-requisitos

• Familiaridade com conceitos e ferramentas de segurança de contêineres
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

Audite pods do Kubernetes em busca de vetores de fuga de contêineres, incluindo modo privilegiado, capacidades perigosas, compartilhamento de namespaces do host, e montagens de hostPath graváveis.

from kubernetes import client, config
config.load_kube_config()
v1 = client.CoreV1Api()

pods = v1.list_pod_for_all_namespaces()
for pod in pods.items:
    for container in pod.spec.containers:
        sc = container.security_context
        if sc and sc.privileged:
            print(f"PRIVILEGED: {pod.metadata.namespace}/{pod.metadata.name}")

Principais vetores de fuga:

1. Contêineres privilegiados (acesso total ao host)
2. Capacidade CAP_SYS_ADMIN
3. Compartilhamento de namespaces PID/Network/IPC do host
4. Montagens de hostPath graváveis em / ou /etc
5. Montagem do socket do Docker (/var/run/docker.sock)

Exemplos

# Check for docker socket mounts
for vol in pod.spec.volumes or []:
    if vol.host_path and "docker.sock" in (vol.host_path.path or ""):
        print(f"Docker socket exposed: {pod.metadata.name}")