• Codice proveniente da registri non attendibili. Il codice non attendibile può includere malware o backdoor che potrebbero concedere involontariamente l'accesso a soggetti malintenzionati.
• Immagini di base complesse. Meno è meglio è per le applicazioni containerizzate, pertanto gli sviluppatori dovrebbero eliminare pacchetti, librerie e shell non necessari che potrebbero essere compromessi.
  

• Concessione di privilegi non necessari. Laddove possibile, è preferibile mantenere i privilegi al minimo e introdurre solo i segreti che un'attività richiede per ridurre la superficie di attacco.
• Errore nell'isolamento delle applicazioni nel cluster. Gli spazi dei nomi devono essere utilizzati per mantenere le risorse e i team separati gli uni dagli altri.
• Movimento laterale all'interno del cluster. Usa policy che segmentano la rete per impedire lo spostamento laterale di un attacco all'interno del cluster.
• Accesso non autorizzato. Verifica che i controlli dell'accesso basati sul ruolo (RBAC) siano configurati correttamente per limitare l'accesso.
  

• Attacchi all'infrastruttura. Durante il runtime, gli elementi dell'infrastruttura Kubernetes, tra cui server API, etcd e controller, presentano tutti le loro superfici di attacco.
• Complessità. Lo stato continuo di un cluster Kubernetes si compone di molte parti in movimento. I container compromessi devono essere isolati, bloccati e sostituiti rapidamente con altri integri mentre l'origine dell'attacco viene individuata e neutralizzata.
  

Le best practice consigliate includono: iniziare con immagini minime senza distribuzione e aggiungere solo quello che è assolutamente necessario. Più piccolo è più sicuro.

• Usa un sistema operativo host minimo, termina i montaggi di sola lettura e utilizza le opzioni SELinux per un controllo ancora maggiore.
• Scansiona le immagini per individuare le vulnerabilità dall'alto verso il basso, incluse le immagini del sistema operativo e immagini esterne di qualsiasi tipo. Non esiste una fonte esterna affidabile.
• Usa gli spazi dei nomi e RBAC per segmentare il cluster e gli utenti in modo logico. Se non è necessario, non dovrebbe essere visibile.
• Le impostazioni predefinite per il networking Kubernetes consentono le comunicazioni "any-to-any", in modo che venga implementata la segmentazione della rete prima dell'ambiente di produzione. Definisci attentamente le policy di ingresso e di uscita per garantire il corretto instradamento delle connessioni.
• Mantieni i privilegi al minimo e non eseguire mai i processi delle applicazioni come rooting. L'utilizzo di un file system di rooting di sola lettura impedisce qualsiasi attacco che dipenda dall'installazione di software o dalla modifica del file system.
• Integra la sicurezza, come la scansione delle immagini, nella pipeline CI/CD. Ancora meglio, esegui i test di sicurezza CIS Benchmark.
• Proteggi il cluster stesso. Configura RBAC per limitare l'accesso al server delle API e garantire che tutte le comunicazioni etcd siano protette con la crittografia TLS. Allo stesso modo, blocca le autorizzazioni kubelet configurando RBAC per kubelet.
• Sfrutta i controlli integrati in Kubernetes, come la configurazione del contesto di sicurezza per limitare l'accesso ai pod.
• La sicurezza proattiva deve includere il monitoraggio dell'attività dei processi, le comunicazioni tra i servizi e le comunicazioni esterne al cluster.