Kubernetes安全指南
刘吉安, 常峥, 成海霞 译
出版时间：2023年12月
页数：324
“这是一本很棒的书，从攻击者的角度全面介绍了他们可能如何尝试破坏Kubernetes集群，以及你可以采取哪些措施来阻止他们。”
——Liz Rice
Isovalent首席开源官
“每个运行基于Kubernetes的工作负载的团队的必备读物。”
——Bilgin Ibryam
Red Hat产品经理和《Kubernetes Patterns》的合著者
想要安全可靠地运行你的Kubernetes工作负载吗？本书提供了基于威胁的Kubernetes安全指南，每一章都会检查特定组件的架构和默认设置，并且回顾现有的备受瞩目的攻击和历史上的通用漏洞披露（CVE）。本书作者分享了最佳实践配置，帮助你从可能被攻击的角度来强化集群。
本书从具有内置默认设置的Vanilla Kubernetes开始，你将检查运行任意工作负载的分布式系统的抽象威胁模型，然后对安全Kubernetes系统的每个组件进行详细评估。
● 通过威胁建模来了解Kubernetes系统的漏洞。
● 聚焦pod，从配置到攻防。
● 保护你的集群和工作负载流量。
● 使用RBAC、OPA和Kyverno定义和实施策略。
● 深入研究沙箱和隔离技术。
● 了解如何检测和减轻供应链攻击。
● 探索静态文件系统、卷和敏感信息。
● 发现在集群中运行多租户工作负载时可能出现的问题。
● 了解即使你已采取控制措施，如果有攻击者闯入，你可以做什么。
——Liz Rice
Isovalent首席开源官
“每个运行基于Kubernetes的工作负载的团队的必备读物。”
——Bilgin Ibryam
Red Hat产品经理和《Kubernetes Patterns》的合著者
想要安全可靠地运行你的Kubernetes工作负载吗？本书提供了基于威胁的Kubernetes安全指南，每一章都会检查特定组件的架构和默认设置，并且回顾现有的备受瞩目的攻击和历史上的通用漏洞披露（CVE）。本书作者分享了最佳实践配置，帮助你从可能被攻击的角度来强化集群。
本书从具有内置默认设置的Vanilla Kubernetes开始，你将检查运行任意工作负载的分布式系统的抽象威胁模型，然后对安全Kubernetes系统的每个组件进行详细评估。
● 通过威胁建模来了解Kubernetes系统的漏洞。
● 聚焦pod，从配置到攻防。
● 保护你的集群和工作负载流量。
● 使用RBAC、OPA和Kyverno定义和实施策略。
● 深入研究沙箱和隔离技术。
● 了解如何检测和减轻供应链攻击。
● 探索静态文件系统、卷和敏感信息。
● 发现在集群中运行多租户工作负载时可能出现的问题。
● 了解即使你已采取控制措施，如果有攻击者闯入，你可以做什么。
- 前言
- 第1章 概述
- 1.1 场景介绍
- 1.2 威胁模型
- 1.2.1 威胁主体
- 1.2.2 第一个威胁模型
- 1.3 关于攻击树
- 1.4 攻击树案例
- 1.5 现有的技术
- 1.6 小结
- 第2章 pod资源详情
- 2.1 默认配置
- 2.2 威胁模型
- 2.3 对攻击的剖析
- 2.3.1 远程代码执行
- 2.3.2 网络攻击面
- 2.4 Kubernetes工作负载：pod中的应用程序
- 2.5 什么是pod？
- 2.6 了解容器
- 2.6.1 共享网络和存储
- 2.6.2 最坏的情况可能会是什么？
- 2.6.3 容器逃逸
- 2.7 pod配置和威胁
- 2.7.1 pod头部
- 2.7.2 反向正常运行时间
- 2.7.3 标签
- 2.7.4 托管字段
- 2.7.5 pod命名空间和所有者
- 2.7.6 环境变量
- 2.7.7 容器镜像
- 2.7.8 pod探针
- 2.7.9 CPU和内存限制和请求
- 2.7.10 DNS
- 2.7.11 pod securityContext
- 2.7.12 pod Sevice Accounts
- 2.7.13 调度器和容忍度
- 2.7.14 pod卷定义
- 2.7.15 pod网络状态
- 2.8 正确使用securityContext
- 2.8.1 使用Kubesec增强securityContext
- 2.8.2 强化的securityContext
- 2.9 进入风暴中心
- 2.10 小结
- 第3章 容器运行时隔离
- 3.1 默认配置
- 3.2 威胁模型
- 3.3 容器，虚拟机和沙盒
- 3.3.1 虚拟机是如何工作的
- 3.3.2 虚拟化的好处
- 3.3.3 容器有哪些问题？
- 3.3.4 用户命名空间缺陷
- 3.4 沙盒化（sandboxing）
- 3.4.1 gVisor
- 3.4.2 Firecracker
- 3.4.3 Kata Container
- 3.4.4 rust-vmm
- 3.5 沙盒化的风险
- 3.6 Kubernetes运行时类
- 3.7 本章小结
- 第4章 应用程序和供应链
- 4.1 默认配置
- 4.2 威胁模型
- 4.3 供应链
- 4.3.1 软件
- 4.3.2 扫描CVE
- 4.3.3 采用开源软件
- 4.3.4 我们应该相信哪些生产商？
- 4.4 CNCF安全技术咨询组
- 4.4.1 架构容器化应用以提高弹性
- 4.4.2 检测木马
- 4.5 攻击供应链
- 4.5.1 攻击的持续性
- 4.5.2 系统面临的风险
- 4.6 容器镜像构建供应链
- 4.6.1 软件工厂
- 4.6.2 神圣的镜像工厂
- 4.6.3 基础镜像
- 4.7 容器供应链的状态
- 4.7.1 来自第三方代码的风险
- 4.7.2 软件材料清单
- 4.7.3 人类身份和GPG
- 4.8 对构建和元数据签名
- 4.8.1 Notary v1
- 4.8.2 sigstore
- 4.8.3 in-toto和TUF
- 4.8.4 GCP二进制授权
- 4.8.5 Grafeas
- 4.9 基础设施供应链
- 4.9.1 Operator权限
- 4.9.2 攻击上游供应链
- 4.10 供应链攻击的类型
- 4.10.1 摄取开源代码
- 4.10.2 贯穿SDLC的应用程序漏洞
- 4.11 防御SUNBURST
- 4.12 小结
- 第5章 网络
- 5.1 默认配置
- 5.1.1 pod内网络
- 5.1.2 pod间通信
- 5.1.3 pod与工作节点间的流量
- 5.1.4 集群外部流量
- 5.1.5 ARP的状态
- 5.1.6 无securityContext
- 5.1.7 无工作负载身份
- 5.1.8 无网络传输加密
- 5.2 威胁模型
- 5.3 流量流向控制
- 5.3.1 安装
- 5.3.2 网络策略前来救援！
- 5.4 服务网格
- 5.4.1 概念
- 5.4.2 选项和采用
- 5.4.3 案例研究：使用Linkerd的mTLS
- 5.5 eBPF
- 5.5.1 概念
- 5.5.2 选项和采用
- 5.5.3 案例研究：将探针附加到Go程序
- 5.6 小结
- 第6章 存储
- 6.1 默认配置
- 6.2 威胁模型
- 6.3 卷和数据存储
- 6.3.1 一切皆是字节流
- 6.3.2 何为文件系统？
- 6.3.3 容器中的卷和挂载
- 6.3.4 OverlayFS
- 6.3.5 tmpfs
- 6.3.6 挂载卷打破了容器隔离
- 6.3.7 基于/proc/self/exe的漏洞
- 6.4 静态的敏感信息
- 6.4.1 Secret挂载
- 6.4.2 攻击挂载的Secret
- 6.5 Kubernetes存储
- 6.5.1 容器存储接口
- 6.5.2 投射卷
- 6.5.3 攻击卷
- 6.5.4 主机目录挂载的风险
- 6.5.5 从数据存储中泄露的其他Secret
- 6.6 小结
- 第7章 硬性多租户
- 7.1 默认配置
- 7.2 威胁模型
- 7.3 命名空间资源
- 7.3.1 节点池
- 7.3.2 节点污点
- 7.4 软性多租户
- 7.5 硬性多租户
- 7.5.1 敌对租户
- 7.5.2 沙盒和策略
- 7.5.3 公有云多租户
- 7.6 控制平面
- 7.6.1 API server和etcd
- 7.6.2 调度器和控制器管理器
- 7.7 数据平面
- 7.8 集群隔离架构
- 7.9 集群支持服务和工具环境
- 7.10 安全监控和可见性
- 7.11 小结
- 第8章 策略
- 8.1 策略的类型
- 8.2 云服务提供商
- 8.2.1 网络流量
- 8.2.2 限制资源分配
- 8.2.3 资源配额
- 8.2.4 运行时策略
- 8.2.5 访问控制策略
- 8.3 威胁模型
- 8.4 普遍预期
- 8.4.1 碎玻璃场景
- 8.4.2 审计
- 8.5 认证和授权
- 8.5.1 人类用户
- 8.5.2 工作负载身份
- 8.6 基于角色的访问控制（RBAC）
- 8.6.1 RBAC回顾
- 8.6.2 一个简单的RBAC例子
- 8.6.3 创建RBAC
- 8.6.4 分析和可视化RBAC
- 8.6.5 RBAC相关的攻击
- 8.7 通用策略引擎
- 8.7.1 开放策略代理（OPA）
- 8.7.2 Kyverno
- 8.7.3 其他策略方案
- 8.8 小结
- 第9章 入侵检测
- 9.1 默认配置
- 9.2 威胁模型
- 9.3 传统的IDS
- 9.4 基于eBPF的IDS
- 9.4.1 Kubernetes和容器入侵检测
- 9.4.2 Falco
- 9.5 基于机器学习方法的IDS
- 9.6 容器取证
- 9.7 蜜罐技术
- 9.8 审计
- 9.9 检测规避
- 9.10 安全运营中心
- 9.11 小结
- 第10章 组织
- 10.1 最薄弱的连接点
- 10.2 云服务提供商
- 10.2.1 责任共担
- 10.2.2 账户卫生
- 10.2.3 对人员和资源进行分组
- 10.2.4 其他注意事项
- 10.3 本地环境
- 10.4 常见注意事项
- 10.4.1 威胁模型爆炸
- 10.4.2 SLO如何给你带来额外的压力
- 10.4.3 社会工程
- 10.4.4 隐私和监管问题
- 10.5 小结
- 附录A pod级攻击
- 附录B 资源
书名：Kubernetes安全指南
译者：刘吉安, 常峥, 成海霞 译
国内出版社：中国电力出版社
出版时间：2023年12月
页数：324
书号：978-7-5198-8373-7
原版书书名：Hacking Kubernetes
原版书出版商：O'Reilly Media
本书封面上的动物是一只南非灰头麻鸭（学名：Tadorna cana）。它也被称为海角鸭（Cape shelduck），是鸭科的一员，常见于非洲南部的湿地、湖泊、河流和池塘，主要分布在纳米比亚。然而，在南方的冬天，它们会向东北迁徙到最喜欢的换羽地。
成年灰头麻鸭的身体是栗褐色的，翅膀上有明显的黑色、白色和绿色标记。雄性鸭子的头是灰色的，雌性则是白头黑冠，可以通过头部颜色来区分两者。但是，雌性鸭子看起来与埃及鹅非常相似，在飞行时几乎无法区分。这些迷人的鸟类也可以通过叫声来识别：雄性的叫声深沉如喇叭，雌性的叫声更响亮更尖锐。
有趣的是，南非灰头麻鸭营巢于其他动物（尤其是土豚）废弃的洞穴。当雏鸟孵出后，亲鸟将它们从巢穴带到水域，科学家称为“育苗池”。育苗池通常位于离巢1英里或2英里远的地方，池里有许多来自不同父母的幼鸟，由一个或多个成年鸟照顾。雏鸟无法飞行，对捕食者非常敏感，而这个托儿所可能是成年鸟保护它们的方式。
南非灰头麻鸭尽管拥有潜水觅食的本领，但它不经常这么捕食。它们的食物包括草、水生植物、小鱼、两栖动物、虫子、蠕虫和小型甲壳类动物。它们是昼夜觅食者。尽管它们受《非洲-欧亚迁徙水鸟保护协定》（AEWA）的保护，它们目前的保护状况仍不需要特别关注。O’Reilly封面上的许多动物都濒临灭绝，他们对世界都很重要。
成年灰头麻鸭的身体是栗褐色的，翅膀上有明显的黑色、白色和绿色标记。雄性鸭子的头是灰色的，雌性则是白头黑冠，可以通过头部颜色来区分两者。但是，雌性鸭子看起来与埃及鹅非常相似，在飞行时几乎无法区分。这些迷人的鸟类也可以通过叫声来识别：雄性的叫声深沉如喇叭，雌性的叫声更响亮更尖锐。
有趣的是，南非灰头麻鸭营巢于其他动物（尤其是土豚）废弃的洞穴。当雏鸟孵出后，亲鸟将它们从巢穴带到水域，科学家称为“育苗池”。育苗池通常位于离巢1英里或2英里远的地方，池里有许多来自不同父母的幼鸟，由一个或多个成年鸟照顾。雏鸟无法飞行，对捕食者非常敏感，而这个托儿所可能是成年鸟保护它们的方式。
南非灰头麻鸭尽管拥有潜水觅食的本领，但它不经常这么捕食。它们的食物包括草、水生植物、小鱼、两栖动物、虫子、蠕虫和小型甲壳类动物。它们是昼夜觅食者。尽管它们受《非洲-欧亚迁徙水鸟保护协定》（AEWA）的保护，它们目前的保护状况仍不需要特别关注。O’Reilly封面上的许多动物都濒临灭绝，他们对世界都很重要。
购买选项
|
© 2024，奥莱利技术咨询(北京)有限公司。版权所有。 传真: +86-10-88097463 京ICP备05003502号 |
|