Сегодня в 14:30 по Мск можно online посмотреть выступление "Создание Network Policy в Kubernetes: ключевые аспекты и рекомендации для разработчиков" от нашего коллеги Сергея Канибора (Luntry, Security Researcher) с конференции Ural Digital Weekend 2023.

Ссылка на трансляцию.

Container security fundamentals part 5: AppArmor and SELinux – пятая статья из цикла статей [1,2,3,4] про безопасность контейнеров от Rory McCune.

Автор рассказывает как можно использовать такие механизмы как AppArmor и SELinux в контейнерном окружении. Сама по себе статья небольшая и в ней отражены только основные моменты по работе с этими механизмами.

Если вы хотите более глубже погрузиться в AppArmor в контексте Kubernetes, то рекомендуем к изучению доклад от нашей команды с БЕКОНа – AppArmor и Kubernetes: настройка проактивной защиты для безопасности приложений (видео, слайды).

P.S. В качестве домашнего задания: ответьте на вопрос, чем в Kubernetes механизм AppArmor лучше чем любой другой навесной prevention механизм для контейнеров (включая тех что написаны на eBPF)?

P.S.S. На самом деле благодаря этому моменту мы и реализовали автоматическую генерацию AppArmor в нашем Luntry.

Сегодня запускаем еще один конкурс и на этот раз с нашими друзьями из DevOops!

Ребята продумывают крутой стикер пак для своей конференции и хотят чтобы он нравился абсолютно всем! И в этом можно и нужно поучаствовать. Предлагайте свои варианты стикеров на тему DevOps, DevSecOps, контейнеров, Kubernetes! Самые прикольные стикеры будут включены в стикер пак и раздаваться на мероприятии. За лучший стикер приз билет на конференцию (есть и приятный сюрприз и для всех участников)!

Варианты стикеров принимаются до 15 августа! Варианты прикрепляйте к комментариям к данному посту.

Наша команда Luntry также примет активное участие в программной части конференции и в ее круглых столах!

P.S. Сегодня последний день чтобы поучаствовать в конкурсе за билет на конференцию OFFZONE!

"Fun with privileged container breakout" и "The Route to Root: Container Escape Using Kernel Exploitation" это две хорошие статьи, посвящённый одной теме - побегу из привилегированного контейнера (или при наличии CAP_SYS_MODULE) с помощью подгрузки своего модуля ядра. Про такой же сценарий наша команда Luntry рассказывали пару лет назад в докладе “Container escapes: Kubernetes edition”.

Метод, конечно, шумный, требует серьезные привилегии, но при этом стабильный и имеет большое покрытие при использовании. Как минимум знать и помнить о нем нужно)

Kubefuzz – фаззер для Kubernetes Admission controller chains. Будет полезен для тестирования и выявления неожиданного поведения, там где конфигурация Admission controllers довольно сложная.

Сами правила для генерации и мутации, описываются в отдельном ресурсе – Constraint. Всё это работает по принципу белого списка. Может работать в трех режимах: Generation – для генерации данных, Mutation – для их мутации, и Fuzzing – по сути комбинация первых двух режимов.

Что интересно – сама тулза была представлена на недавно прошедшей конференции Troopers23. Ознакомиться со слайдами можно тут.

Когда наша команда проводит аудит безопасности Kubernetes в более продвинутых компаниях сейчас для всех их политик (для Policy Engine) они как правило пишут и ряд тестовых ресурсов для проверки как с положительным результатом, так и с отрицательным.

В рамках KubeCon + CloudNativeCon Europe 2022 был представлен доклад "Komrade: an Open-Source Security Chaos Engineering (SCE) Tool for K8s" (слайды, видео), а с ним и выложен инструмент Kirvis.

Те, кто был на моем тренинге, знают, что за темой Security Chaos Engineerin я активно наблюдаю и люблю обсудить) И тут как раз на эту тему попался доклад!

Изучая данные слайды, было очень приятно видеть те же самые мысли, идеи, что мы активно освещаем как в наших выступлениях (с 2021), так и фичах нашего решения. На пример:
1) "Our systems have evolved beyond our human ability to mentally model their behavior"
2) "Software ONLY Increases in Complexity"
3) "Our systems have become more complex and messy than we remember"
4) "Cyber Security is Context Dependent"
5) "How do I know if my Security Really Works???"
6) "Understand your system and its security gaps before an adversary does"
7) "Hope is Not an Effective Strategy"

В этом есть много объяснений почему мы решили делать security observability и упор на поведенческий анализ.

Kirvis (после публикации ни разу не обновленный) по своей сути меняет настройки в небезопасное состояние, а потом возвращает в исходное. Ваши инструменты ИБ должны это конечно обнаружить! Еще там упоминается такой инструмент по этой теме как ChaoSlingr (тоже заброшен) (слайды о нем и с ними мы также рекомендуем ознакомиться).

Как по мне, к данному подходу нужен высокий уровень зрелости как в ИТ, так и в ИБ и он есть совсем у малого числа компаний и поэтому время этого направления еще не пришло.

One-Time Pass Codes for Kyverno...With Quotas! – продолжение статьи (первая часть), в которой рассказывается как можно использовать Kyverno в качестве OTP системы. На этот раз автор представляет вторую, улучшенную версию.

В первой версии пользователь мог неограниченно запрашивать коды, во второй версии автор добавил квоты на выдачу кодов, которые можно выдавать на определенный период, например на месяц.

Всё что для этого нужно – несколько политик Kyverno: одна для валидации данных, другая для генерации кодов и третья для регулирования квот.

Видео от автора с полной работой системы можно посмотреть тут.

На прошлой неделе состоялись две крупнейшие ИБ конференции в Мире - это BlackHat USA Las Vegas и DEFCON USA. Я знаю о чем говорю, так как на первой мне довелось выступать (включая BlackHat UAE Abu Dhabi), а на второй присутствовать. И вот там было представлено море всего интересного, так что ближайшее время то что касается контейнеров и Kubernetes мы постараемся осветить на нашем канале.

Начнем с темы, которой достаточно редко покрывается на нашем канале — это Windows containers [1,2,3,4]. Доклад называется "Contain Yourself: Staying Undetected Using the Windows Containers Isolation Framework". Здесь вообще нет ничего общего с Linux containers, но нам мой взгляд будет полезно знать что, как и на сколько отличается в реализациях. Ну и как следует из названия доклада потом данная технология используется для того чтобы организовать:
- Ransomware/Wiper protection bypass
- DLP/Secured folders write bypass
- ETW-based correlations bypass

Со слайдами и кодом можно ознакомиться тут.

Сегодня продолжаем раскрывать тему из крайнего поста, а именно рассмотрим инструмент, релиз которого произошел на крайнем BlackHat USA.

Речь идёт про konstellation, авторы представили его в рамках BlackHat Arsenal. Тулза умеет делать несколько вещей:

- Собирать данные с Kubernetes cluster (используемые ресурсы, RBAC)
- Показывать BadPods и опасные Role & ClusterRole
- Находить relationships между ресурсами K8S, например RoleBinding → Role
- Визуализировать полученные связи в виде графов в Neo4j

И всё бы ничего, только возникает большой вопрос – а зачем это? Есть ряд других open source инструментов, которые позволяют это делать + удобно отображают результаты. А тут еще ко всему прочему нужно тащить neo4j. Лично мы не увидели никакого преимущества у данного инструмента по сравнению с другими в этой области.

Решили провести вебинар - «Patch management не поможет, фиксики не спасут». В рамках которого хочется раскрыть мысль, которая в наших выступлениях уже звучала, но то это было частью другой темы, то на доклад было 10-15 мин, то доклад был на закрытом мероприятии. А очень хочется это полностью раскрыть (со всеми проблемами) и чтобы все могли посмотреть на проблемы patch management в реальных (не эфемерных) условиях, где есть и атакующие, и другие департаменты, и корпоративные процессы, и разные регуляторы и все это с примерами и т.д. Знаем что многих этот вопрос волнует.

Вебинар не продуктовый, а именно наш опыт и взгляд на то, что мы видим сейчас в компаниях и как с этим быть.

Вебинар пройдет 29 августа в 11:00. Зарегистрироваться можно тут.

P.S. К завершению подходит конкурс от конференции DevOops - успейте поучаствовать и выиграть призы ;)

На прошедшем DEFCON в рамках CloudVillage был представлен доклад "CNAPPGoat - A multicloud vulnerable-by-design infrastructure deployment tool". Как не сложно догадаться благодаря инструменту CNAPPgoat можно развернуть различные уязвимые сценарии в различных публичных облаках для тестирования своих detection и prevention возможностей, так и просто для тренировки red и blue team.

Из интересных моментов:
- Написан с помощи Pulumi на Go (Впервые встречаю использования Pulumi в security проекте, а если вы не знаете что это, то если кратко, то: Infrastructure as code in any programming language)
- Содержит приличную базу сценариев (лежат отдельно тут)
- Поддерживает AWS, Azure и GCP

Также обратите ваше внимание на раздел "Similar projects" в конце репозитария, где представлен список подобных проектов.

15 августа вышла версия Kubernetes 1.28 под кодовым названием Planeternetes! Если говорить о security изменениях, то это в первую очередь:

- CEL-based admission policies webhook match conditions. Использование CEL-выражений для определения области применения admission webhook.
- CRD Validation Expression Language. Для проверки CRD теперь можно использовать CEL.
- CEL for Admission Control. Новый способ контроля через CEL, без необходимости задействовать вебхуки.
- Reduction of secret-based service account tokens. Отмена автоматической генерации секретов для служебных SA.
- Support User Namespaces in Pods. Ограничение привилегированного процесса в Pod.
- KMS v2 improvements. Улучшение сервиса, который используется для шифрования данных etcd.
- Auth API to Get Self-User Attributes. Новая команда kubectl auth who-a-mi позволяет увидеть текущего пользователя после завершения процесса аутентификации.

Со всеми изменениями, которые пришли в версию 1.28 можно ознакомиться тут.

CNCF опубликовало текст документа "Security Zero Trust using Cloud Native Platforms". Очень достойный документ, который в очередной раз заставляется задуматься о "пользе" постоянных сканирований, использования сигнатур и т.д. В итоге понять какие действительно меры рабочие в текущих реалиях.

P.S. Всем хороших выходных!

Security Tool Ranking – довольно забавный рейтинг популярности security тулзов. Рейтинг расчитывается по трем критериям: stars, pull requests и issues.

Интересно, что из 50 позиций около 20 так или иначе относятся к направлению Kubernetes security. Это, в свою очередь, говорит о популярности самого Kubernetes в целом.

Однако, слепо верить и доверять таким рейтингам при выборе инструмента не стоит ;)

Ребята из команды GitHub выпустили заметку "mTLS: When certificate authentication is done wrong" на базе своих исследований представленный на конференциях Black Hat USA и DEF CON. В рамках ее они рассматривают:
1) Что такое mutual TLS
2) Атаки на mutual TLS

Рассматриваются как известные атаки, так и новые на базе уязвимостей:
- CVE-2023-2422 improper certificate validation in KeyCloak
- CVE-2023-33201 LDAP injection in Bouncy Castle
- CVE-2023-28857 credentials leak in Apereo CAS

По нашим клиентам знаем, что периодически компании для организации mutual TLS между сервисами используют не какие-то готовые решения (типа ServiceMesh), а пишут полностью свои. И вот это исследование будет полезно как первым так и вторым ;)

Давненько не доводилось попадать в печатные журналы (чуть ли не с времен когда я был одним из редакторов журнала ХАКЕР). Но тут по приглашению друзей поучаствовал в очень интересном формате (offline круглый стол) на тему безопасной разработки. В этом круглом столе поучаствовало 19 организаций и каждая ответила на 7 вопросов. По мне это прекрасная возможность за короткий промежуток времени ознакомиться с различными точками зрения по одной теме. С самим эти круглым столом можно ознакомиться в журнале "Информационная безопасность" №3 (стр. 40-41) или online тут.

P.S. Не забываем о вебинаре «Patch management не поможет, фиксики не спасут», что пройдет 29 августа! А так в живую можно увидеться с нашей командой Luntry на конференции OFFZONE.

Ни для кого не секрет, что Istio для своей работы инжектит sidecar контейнер в довесок к основным, работающим в Pod. Однако в Kubernetes 1.28 появилась нативная реализация sidecar контейнеров и статья Kubernetes Native Sidecars in Istio как раз про это!

Один из самых популярных кейсов в issue трекере – продолжение работы sidecar контейнера после завершения работы Job. Теперь у этой проблемы появилось решение. Начиная с версии Kubernetes 1.28 новое featureGate – SidecarContainers призвано решить этот кейс. Для того чтобы Kubernetes понял, что это действительно sidecar – нужно вынести контейнер в initContainers и выставить restartPolicy: Always.

P.S. Мы уже рассказывали про эту возможность, в одном из предыдущих постов.

Проект Kuasar как говорят авторы это Efficient Multi-Sandbox Container Runtime. Давайте разберемся что это за зверь такой. Ребята выделяют 3 типа sandbox:
1) microVM
2) Application-kernel
3) WASM

При это они говорят, что нет единого container runtime, может работать со всеми этими sandbox одновременно ... И тут как раз их low-level container runtime написанный на Rust и должен решить эту проблему.

Следующий момент, это то что в недрах containerd, с 2022 идет работа над Sandbox API. И данный проект является по сути первым, который это реализовал/поддержал.

По сути Kuasar соединяет high-level container runtime c sandbox плагинами и sandbox API.

Так это все по сути очень сырое: Sandbox API еще не зафиксировано, containerd по хорошему нужен 2 версии, но он еще не выпущен, ...

И мы лично не стороники sandbox подхода, так как это лишь усложняет побег через ядро, оставляя другие вектора доступными, и при этом лишая нормального мониторинга.

Сегодня наша команда, в лице Сергея Канибора, выступит на конференции OFFZONE 2023 с докладом – Kubernetes Pentest All‑in‑One: The Ultimate Toolkit на AppSec.Zone в 14:00.

Доклад будет посвящён docker образу, который призван упростить жизнь при проведении Kubernetes пентеста. Сам образ появился в результате проведения аудитов и обкатан в боевых условиях. Мы расскажем с какими реальными проблемами и ограничениями можно столкнуться при проведении пентеста k8s, а также поделимся тем, как эти проблемы можно решить.

Ссылку на сам репозиторий с описанием, того что есть внутри, и самим образом можно найти тут.

P.S – будем рады пообщаться на тему безопасности контейнеров и Kubernetes ;)

На недавно прошедшем HITB Sec Conf 2023 в Phuket был представлен доклад "gVisor: Modern Linux Sandboxing Technology". Достаточно любопытное исследование, которое хорошо погружает в тему linux sandbox механизмов и решений. И после погружения в базу автор рассматривает написание собственного "идеального" решения под названием vmjail, который базируется на gVisor (внутреннее устройство, которого также рассматривается).

Самые важные моменты:
- vmjail находиться в разработке и кода не опубликовано
- Проект требует изменение в исходном коде gVisor (достаточно много доработок)
- Проект подразумевает два режима работы: enforce security policy (строго определяем политику) и analysis (мониторим поведение)
- Интересная идея привязки политик OCI spec

Так что, честно говоря, для большинства это исследование будет интересно чисто на уровне теории механизмов Linux ... Будет ли вообще опубликован проект (не говоря уже о его нормальной поддержке) - не известно.

P.S. Все слайды с конференции можно посмотреть тут.