RedHunt Labs решили просканировать Интернет в поисках незащищенных кластеров Kubernetes и получили удивительные (нет😐) результаты.
Для этого они написали тулзу KubeStalk (и выложили исходники), с помощью которой за три дня прошерстили всю глобальную паутину (с небольшими исключениями).
Из интересного:
🔶 Нашли 574 913 неправильно сконфигурированных кластеров.
🔶 61% кластеров размещены в общедоступных облаках.
🔶 Наиболее часто встречаемые версии незащищенных кластеров - 1.21 и 1.22. Это указывает на то, что 60% обнаруженных кластеров не обновлялись больше года.
🔶 Кластеров с актуальной версией (1.25) обнаружено менее 1%.
🔶 Около 4 тыс. кластеров подвержены уязвимостям с оценкой CVSS >=8 (см. рис.)
🔶 Ну и несколько кластеров уже были скомпрометированы злоумышленниками - на них было обнаружено вредоносное ПО и IoC, свидетельствующие об этом.

В конце отчета, как всегда, призыв использовать лучшие практики безопасной настройки кластеров Kubernetes.
И здесь хочу поделиться ссылкой на интересную статью про недокументированные советы по безопасности Kubernetes, где приведены три таких совета:
🔶 Безопасному кластеру нужна безопасная организация - как верно замечает автор, на сколько бы кластер не был безопасно настроен по всем гайдам, если в организации бардак, а персонал не обучен, то всё будет напрасно.
🔶 Следите за изменяемыми элементами механизма RBAC в Kubernetes - такие элементы как "глаголы" (verbs) и "ресурсы" (resources) плохо документируются в API Kubernetes. Так что RBAC не идеален...
🔶 Помните, что Kubernetes, по сути, это RCE as a Service😁
Т.е. смиритесь и уделяйте внимание аутентификации, поставьте в кубер IDS и диверсифицируйте инфраструктуру - разверните несколько кластеров.