K8s安全与漏洞【课件】

20XX/XX/XXK8s安全与漏洞汇报人:XXXCONTENTS目录01

K8s基础入门介绍02

K8s核心安全机制03

K8s常见漏洞类型04

K8s漏洞防护方案05

K8s安全实操实践K8s基础入门介绍01Pod资源单元解析Pod是K8s最小部署单元，可包含一个或多个容器，如电商系统中订单服务与日志收集容器可同属一个Pod。Deployment控制器详解Deployment用于管理Pod的部署与更新，像字节跳动的微服务集群就通过它实现服务的弹性扩缩容。Service服务发现机制Service为Pod提供稳定访问入口，比如企业内部的数据库服务，通过Service实现跨Pod的统一调用。K8s核心概念概述K8s安全的重要性守护核心业务运行稳定K8s承载大量企业核心业务，如字节跳动的微服务集群，安全漏洞易引发业务大面积瘫痪。防范数据泄露风险K8s存储着用户敏感数据，如金融企业的客户信息，安全失效可能导致严重的数据泄露事件。避免合规处罚损失未保障K8s安全会违反等保2.0等合规要求，曾有企业因容器安全问题遭高额行政处罚。K8s核心安全机制02身份认证机制

509证书认证K8s默认采用X.509证书认证组件，组件间通信、用户访问均需通过合法证书校验身份。

静态Token认证静态Token通过预设令牌串验证身份，多用于临时测试场景，比如运维人员快速调试集群。

OAuth2.0认证对接GitHub、Google等外部OAuth2.0服务，实现企业用户统一身份登录K8s集群。RBAC基于角色的访问控制通过定义角色、绑定权限，如给开发人员绑定只读Pod权限，实现精细化的资源访问管控。ServiceAccount账户权限隔离为不同服务分配独立ServiceAccount，避免共享账户引发的权限泄露风险，提升安全性。PodSecurityContext权限约束通过设置Pod的运行用户、权限等，禁止容器以root权限运行，降低恶意程序攻击风险。权限控制机制网络隔离机制

Pod间网络隔离借助NetworkPolicy规则，可限制Pod间的通信，比如禁止非授权Pod访问数据库Pod，降低横向渗透风险。

命名空间网络隔离通过配置命名空间级别的NetworkPolicy，可实现不同业务命名空间的网络隔离，如电商与支付业务互不干扰。

集群外部网络隔离利用NetworkPolicy限制集群外部流量访问，仅允许可信IP段访问核心服务，像企业办公网可访问管理节点。镜像安全机制

镜像签名校验K8s可通过Notary等工具实现镜像签名校验，比如阿里云镜像仓库支持签名验证，防止恶意镜像混入。

镜像漏洞扫描借助Clair、Trivy等工具可扫描镜像漏洞，像腾讯云容器服务会自动扫描镜像中的CVE高危漏洞。

镜像准入控制通过AdmissionController设置镜像准入规则，例如只允许来自企业可信镜像仓库的镜像部署到集群。K8s常见漏洞类型03RBAC权限过度配置漏洞不少K8s集群因过度分配权限，如给普通Pod绑定cluster-admin角色，易引发越权访问风险。APIServer未鉴权配置漏洞部分K8s集群未开启APIServer鉴权机制，攻击者可直接访问敏感接口，窃取集群核心数据。容器镜像仓库未授权访问漏洞若K8s配置的镜像仓库未设访问限制，攻击者可恶意上传带木马的镜像，入侵集群节点。配置错误类漏洞权限逃逸类漏洞容器内特权进程逃逸攻击者利用容器内的特权进程突破隔离，如通过Docker的--privileged参数获取宿主机ROOT权限。ServiceAccount令牌滥用逃逸攻击者窃取ServiceAccount令牌，借助高权限令牌访问K8sAPI，绕过权限控制获取集群管理权限。Pod安全策略配置缺陷逃逸因Pod安全策略过度宽松，攻击者可创建特权Pod，绕过资源限制实现权限逃逸控制宿主机。镜像供应链漏洞基础镜像含恶意代码部分开源基础镜像被植入挖矿程序，如某知名镜像平台曾曝出Ubuntu镜像暗藏恶意脚本事件。镜像篡改风险攻击者会篡改官方镜像植入后门，比如DockerHub上曾出现伪造的Nginx镜像携带木马程序。镜像传输未加密镜像在拉取传输过程中未加密，易被中间人劫持篡改，曾有企业因该问题导致业务系统被入侵。网络层面漏洞

容器网络策略配置不当漏洞部分企业未合理配置NetworkPolicy，导致跨容器非法访问，曾出现金融平台核心数据被越权窃取案例。

kube-proxy组件安全漏洞kube-proxy存在端口劫持风险，攻击者可利用此漏洞篡改流量，某电商平台曾因此遭DDoS攻击放大。

CNI插件权限溢出漏洞部分CNI插件权限管控缺失，攻击者可通过溢出权限修改网络规则，曾有云服务商集群被非法横向渗透。第三方组件漏洞

容器镜像漏洞如官方Nginx镜像曾曝出的CVE-2021-23017漏洞，攻击者可借此绕过访问控制获取敏感信息。

存储插件漏洞知名存储组件Rook曾存在权限配置漏洞，未授权攻击者可篡改集群存储资源的配置信息。

网络插件漏洞Calico网络插件曾曝出的权限提升漏洞，攻击者可利用该漏洞获取集群节点的管理员权限。K8s漏洞防护方案04配置基线加固方案

Pod权限最小化配置严格限制Pod的权限范围，如禁止使用root用户运行，像电商平台部署订单处理Pod时就采用该策略。

APIServer访问控制加固通过RBAC机制细化角色权限，例如金融平台仅允许运维角色查看集群敏感配置信息。

节点安全基线配置禁用节点不必要的服务与端口，如互联网企业会关闭K8s节点上未使用的SSH远程端口。权限管控优化方案实施RBAC细粒度权限划分基于角色访问控制，为不同岗位设置专属权限，如仅给开发人员授予指定Pod的操作权限。启用ServiceAccount权限隔离为每个应用分配独立ServiceAccount，避免共享账号越权，比如电商订单服务单独配置账号。定期清理冗余权限每季度排查过期、闲置的权限配置，删除离职人员的集群访问权限，降低权限泄露风险。镜像安全防护方案

镜像源白名单管控企业可配置可信镜像源白名单，如仅允许DockerHub官方镜像、阿里云可信镜像库的镜像拉取。

镜像漏洞扫描与修复借助Clair、Trivy等工具扫描镜像，发现CVE漏洞后及时更新基础镜像或修补代码。

镜像签名验证机制启用DockerContentTrust等签名机制，确保只有经过签名的可信镜像才能在K8s集群中部署。容器行为监控与异常告警通过工具实时监控容器进程、网络流量，如发现挖矿程序异常外联，立即触发告警阻断。镜像漏洞实时扫描修复利用Clair等工具扫描运行中镜像，发现CVE-2023-25153等漏洞时，自动推送补丁修复。权限最小化管控限制容器运行权限，禁止以root身份启动，如某电商平台通过该方式避免越权访问风险。运行时漏洞防护方案K8s安全实操实践05常见漏洞复现演示01容器逃逸漏洞复现通过演示利用CVE-2022-0811漏洞，突破容器隔离获取宿主机权限，还原攻击完整路径。02APIServer未授权访问复现模拟攻击者利用未配置鉴权的APIServer，直接获取集群敏感配置与节点控制权限。03镜像仓库恶意镜像植入复现演示在公共仓库上传含后门的镜像，用户拉取部署后触发恶意程序窃取集群数据。防护方案配置演示网络策略精准配置

通过设置K8s网