Realizando Avaliação de Segurança do etcd do Kubernetes

Visão Geral

etcd é o armazenamento distribuído de chave-valor que serve como base de dados do Kubernetes para todos os dados do cluster, incluindo Secrets, políticas RBAC, ConfigMaps e configurações de workload. Sem um endurecimento adequado, o etcd expõe todos os segredos do cluster em texto puro, tornando-o o alvo de maior valor para atacantes que obtêm acesso ao plano de controle. Uma avaliação de segurança abrangente cobre criptografia em repouso, TLS para transporte, controle de acesso, segurança de backup e isolamento de rede.

Quando Usar

• Ao realizar avaliações de segurança que envolvem a realização de avaliação de segurança do etcd do Kubernetes
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Acesso aos nós do plano de controle do Kubernetes
• Acesso SSH aos nós do cluster etcd (ou etcdctl configurado)
• Documento de referência do CIS Kubernetes Benchmark
• Compreensão de gerenciamento de certificados TLS e EncryptionConfiguration

Áreas de Avaliação

1. Criptografia em Repouso

Verifique se o Kubernetes criptografa os dados de Secret armazenados no etcd:

# Check if EncryptionConfiguration is configured on API server
ps aux | grep kube-apiserver | grep encryption-provider-config

# View the encryption configuration
cat /etc/kubernetes/enc/encryption-config.yaml

Configuração segura esperada:

apiVersion: apiserver.config.k8s.io/v1
kind: EncryptionConfiguration
resources:
  - resources:
      - secrets
      - configmaps
    providers:
      - aescbc:
          keys:
            - name: key1
              secret: <base64-encoded-32-byte-key>
      - identity: {}  # Fallback for reading unencrypted data

Verifique se os secrets estão realmente criptografados no etcd:

# Read a secret directly from etcd
ETCDCTL_API=3 etcdctl \
  --endpoints=https://127.0.0.1:2379 \
  --cacert=/etc/kubernetes/pki/etcd/ca.crt \
  --cert=/etc/kubernetes/pki/etcd/server.crt \
  --key=/etc/kubernetes/pki/etcd/server.key \
  get /registry/secrets/default/my-secret | hexdump -C | head -20

# If encrypted, output starts with "k8s:enc:aescbc:v1:key1"
# If NOT encrypted, you'll see plaintext key-value pairs

2. Segurança de Transporte TLS

# Verify etcd uses TLS for client connections
ETCDCTL_API=3 etcdctl endpoint health \
  --endpoints=https://127.0.0.1:2379 \
  --cacert=/etc/kubernetes/pki/etcd/ca.crt \
  --cert=/etc/kubernetes/pki/etcd/server.crt \
  --key=/etc/kubernetes/pki/etcd/server.key

# Check peer TLS configuration
ps aux | grep etcd | tr ' ' '\n' | grep -E "peer-cert|peer-key|peer-trusted-ca"

# Verify certificate expiration
openssl x509 -in /etc/kubernetes/pki/etcd/server.crt -noout -enddate
openssl x509 -in /etc/kubernetes/pki/etcd/peer.crt -noout -enddate

Flags esperadas:

3. Controle de Acesso

# Verify etcd is not exposed on all interfaces
ps aux | grep etcd | tr ' ' '\n' | grep listen-client-urls
# Should be: https://127.0.0.1:2379 (not 0.0.0.0)

# Check who can access etcd certificates
ls -la /etc/kubernetes/pki/etcd/
# Should be readable only by root/etcd user

# Verify API server is the only etcd client
ss -tlnp | grep 2379
# Only kube-apiserver should have connections

4. Segurança de Backup

# Create an encrypted etcd backup
ETCDCTL_API=3 etcdctl snapshot save /backup/etcd-snapshot.db \
  --endpoints=https://127.0.0.1:2379 \
  --cacert=/etc/kubernetes/pki/etcd/ca.crt \
  --cert=/etc/kubernetes/pki/etcd/server.crt \
  --key=/etc/kubernetes/pki/etcd/server.key

# Encrypt the backup file
gpg --symmetric --cipher-algo AES256 /backup/etcd-snapshot.db

# Verify backup integrity
ETCDCTL_API=3 etcdctl snapshot status /backup/etcd-snapshot.db --write-out=table

5. Isolamento de Rede

# Verificar se as portas do etcd estão protegidas por firewall

…