• Código de registros não confiáveis. O código não confiável pode incluir malware ou backdoors que podem conceder acesso inadvertidamente a pessoas mal-intencionadas.
• Imagens de base inchadas. Menos é mais para aplicativos em contêineres, portanto, os desenvolvedores devem eliminar pacotes, bibliotecas e shell desnecessários que podem estar comprometidos.
  

• Concessão de privilégios desnecessários. Sempre que possível, reduza os privilégios e crie apenas os segredos que uma tarefa exige para reduzir a superfície de ataque.
• Falha ao isolar aplicativos no cluster. Os namespaces devem ser usados para manter recursos e equipes separados uns dos outros.
• Movimento lateral dentro do cluster. Use políticas que segmentam a rede para impedir o movimento lateral de um ataque dentro do cluster.
• Acesso não autorizado. Garanta que os controles de acesso com base em funções (RBAC) estejam configurados corretamente para limitar o acesso.
  

• Ataques de infraestrutura. Durante o tempo de execução, os elementos da infraestrutura do Kubernetes, incluindo o servidor de API, o etcd e os controladores, apresentam suas próprias superfícies de ataque.
• Complexidade. A integridade contínua de um cluster do Kubernetes tem muitas partes móveis. Os contêineres comprometidos devem ser rapidamente isolados, interrompidos e substituídos por outros íntegros enquanto a origem do ataque é localizada e corrigida.
  

As recomendações de práticas recomendadas incluem: comece com o mínimo de imagens básicas e adicione apenas o que for absolutamente necessário. Quanto menor o número de informações, maior a segurança.

• Use um sistema operacional de host mínimo, encerre montagens somente leitura e use as opções do SELinux para ter ainda mais controle
• Faça a varredura das imagens em busca de vulnerabilidades, incluindo imagens do sistema operacional e imagens externas de qualquer tipo. Não existe uma fonte externa confiável.
• Use namespaces e RBAC para segmentar o cluster e os usuários de maneira lógica. Se não for necessário, não deve estar visível.
• Os padrões da rede de Kubernetes permitem comunicações de qualquer lugar, portanto, a segmentação de rede deve ser implementada antes da produção. Defina cuidadosamente as políticas de entrada e saída para garantir que as conexões sejam roteadas corretamente.
• Mantenha os privilégios mínimos e nunca execute processos de aplicativos como root. O uso de um sistema de arquivos raiz somente leitura impede qualquer ataque que dependa da instalação de software ou da modificação do sistema de arquivos.
• Integre segurança, como varredura de imagens, ao pipeline de CI/CD. Melhor ainda, execute os testes de segurança CIS Benchmark.
• Proteja o cluster em si. Configure o RBAC para limitar o acesso ao servidor de API e garantir que todas as comunicações etcd sejam protegidas com criptografia TLS. Da mesma forma, bloqueie as permissões de kubelet configurando o RBAC para kubelets.
• Aproveite os controles integrados do Kubernetes, como a configuração do contexto de segurança para limitar o acesso ao pod.
• A segurança proativa deve incluir o monitoramento da atividade do processo, das comunicações entre os serviços e das comunicações externas ao cluster.