Realizando Testes de Penetração em Kubernetes

Visão Geral

Testes de penetração em Kubernetes avaliam sistematicamente a segurança do cluster simulando técnicas de atacantes contra o servidor de API, kubelet, etcd, pods, RBAC, políticas de rede e segredos. Usando ferramentas como kube-hunter, Kubescape, peirates e exploração manual com kubectl, os testadores identificam configurações incorretas que podem levar ao comprometimento do cluster.

Quando Usar

• Ao realizar avaliações de segurança que envolvam testes de penetração em Kubernetes
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar atividades agendadas de testes de segurança ou auditoria
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Engajamento de teste de penetração autorizado
• Acesso ao cluster Kubernetes (vários níveis para diferentes cenários de teste)
• kube-hunter, kubescape, kube-bench instalados
• kubectl configurado
• Acesso à rede aos componentes do cluster

Conceitos Principais

Superfície de Ataque do Kubernetes

MITRE ATT&CK para Kubernetes

Fluxo de Trabalho

Etapa 1: Reconhecimento Externo

# Discover Kubernetes services
nmap -sV -p 443,6443,8443,2379,10250,10255,30000-32767 target-cluster.com

# Check for exposed API server
curl -k https://target-cluster.com:6443/api
curl -k https://target-cluster.com:6443/version

# Check anonymous authentication
curl -k https://target-cluster.com:6443/api/v1/namespaces

# Check for exposed kubelet
curl -k https://node-ip:10250/pods
curl http://node-ip:10255/pods  # Read-only kubelet

Etapa 2: Varredura Automatizada com kube-hunter

# Install kube-hunter
pip install kube-hunter

# Remote scan
kube-hunter --remote target-cluster.com

# Internal network scan (from within cluster)
kube-hunter --internal

# Pod scan (from within a pod)
kube-hunter --pod

# Generate report
kube-hunter --remote target-cluster.com --report json --log output.json

Etapa 3: Avaliação do Benchmark CIS com kube-bench

# Run kube-bench on master node
kube-bench run --targets master

# Run on worker node
kube-bench run --targets node

# Check specific sections
kube-bench run --targets master --check 1.2.1,1.2.2,1.2.3

# JSON output
kube-bench run --json > kube-bench-results.json

# Run as Kubernetes job
kubectl apply -f https://raw.githubusercontent.com/aquasecurity/kube-bench/main/job.yaml
kubectl logs -l app=kube-bench

Etapa 4: Conformidade com o Framework com Kubescape

# Install kubescape
curl -s https://raw.githubusercontent.com/kubescape/kubescape/master/install.sh | /bin/bash

# Scan against NSA/CISA hardening guide
kubescape scan framework nsa

# Scan against MITRE ATT&CK
kubescape scan framework mitre

# Scan against CIS Kubernetes Benchmark
kubescape scan framework cis-v1.23-t1.0.1

# Scan specific namespace
kubescape scan framework nsa --namespace production

# JSON output
kubescape scan framework nsa --format json --output kubescape-report.json

Etapa 5: Teste de Exploração de RBAC

# Verificar permissões atuais
kubectl auth can-i --list

# Verificar permissões específicas de alto valor
kubectl auth can-i create pods
kubectl auth can-i create pods --subresource=exec
kubectl auth can-i get secrets
kubectl auth can-i create clusterrolebindings
kubectl auth can-i '*' '*'  # verificação de cluster-admin

# Enumerar tokens de conta de serviço
kubectl get serviceaccounts -A

…