云原生安全攻防啟示contents|目錄4C'云原生安全云上身份攻擊從K8s到Cloud攻防啟示/014C'云原生安全4C'云原生安全4C'云原生安全-Cloud身份和訪問管理漏洞API濫用和未經(jīng)授權(quán)訪問云產(chǎn)品信任關(guān)系濫用API密鑰泄露云平臺元數(shù)據(jù)濫用身份冒用4C'云原生安全-Cluster多租戶隔離漏洞Secrets對象濫用服務(wù)間未授權(quán)訪問APIServer未授權(quán)訪問K8s自身漏洞錯誤配置4C'云原生安全–Container

&

Code鏡像漏洞容器逃逸內(nèi)核漏洞錯誤配置應(yīng)用程序漏洞/02云上身份攻擊4C'云原生安全–Container

&

Code基于資源的策略基于資源的策略基于資源的策略攻擊思路如果權(quán)限細(xì)化的非常嚴(yán)格，則敏感角色是我們有限攻擊目標(biāo)權(quán)限過高則則將目標(biāo)放在資源上即使一個賬戶沒有任何權(quán)限，依然可以對配置基于資源的策略對象進行操作基于資源的策略攻擊思路當(dāng)我們掌握一個身份后，我們非常關(guān)注它的身份策略，以及他可以執(zhí)行的操作，同時我們應(yīng)該注意環(huán)境中可能存在很多資源，這些資源可能具備預(yù)置的某些權(quán)限信任關(guān)系，這些可能是我們可以利用的一個突破口?；谫Y源的策略攻擊思路基于資源的策略不僅僅應(yīng)用在S3上，還有大量云上基礎(chǔ)資源，任何一個受到攻擊都會影響巨大案例分析IMDS攻擊利用Meta-data：用來查詢服務(wù)器實例ID、網(wǎng)絡(luò)ID等信息User-data：在第一次啟動或重新啟動服務(wù)器時安裝軟件、下載代理、下載配置文件、啟動某些程序、檢查配置等操作IMDS攻擊利用提權(quán)敏感信息收集橫向移動可以訪問哪些資源硬編碼憑據(jù)以root權(quán)限運行的腳本AK/SK利用防護繞過新啟服務(wù)器實例云函數(shù)VPC/03從K8s到Cloud從K8s到Cloud獲取到一個pod之后，它的權(quán)限可能是這樣的從K8s到Cloud獲取到一個pod權(quán)限后，能做的事情很多下載所有私有倉庫鏡像查看所有鏡像漏洞掃描結(jié)果測繪網(wǎng)絡(luò)拓?fù)鋭?chuàng)建、修改、刪除網(wǎng)絡(luò)接口修改安全組案例分析API濫用提權(quán)Azure常用APIlistClusterUserCredentiallistClusterMonitoringUserCredentiallistClusterAdminCredentiallistCredential繞過私有集群限制繞過私有集群限制Runcommand互聯(lián)網(wǎng)訪問私有集群所有集群中默認(rèn)啟用執(zhí)行命令的Pod默認(rèn)是以集群管理員形式啟動獲取到具有該權(quán)限的賬戶則可控整個集群Say

admin

without

saying

adminAKS-services

role挖掘類似的風(fēng)險點是云上攻擊的關(guān)鍵所在/04攻防啟示ending