Cybersicherheitsforscher haben mehr als 900.000 Instanzen von Kubernetes-Konsolen entdeckt, die im Internet offengelegt sind.
Forscher von Cyble entdeckten falsch konfigurierte Kubernetes-Instanzen, durch die Hunderttausende Organisationen gefährdet werden könnten. Die Forscher fanden mehrere Anzeichen für eine Offenlegung in der Open-Source-Container-Orchestrierungsplattform:
- KubernetesDashboard
- Kubernetes-master
- Kubernetes Kube K8
- Favicon:2130463260, -1203021870
Die Untersuchung zur Bedrohungssuche führte zu einigen allgemeinen Erkenntnissen über die Risikoexposition:
- Die Vereinigten Staaten weisen mit Abstand die höchste Zahl offengelegter Instanzen auf (65 %), gefolgt von China (14 %) und Deutschland (9 %)
- Die am häufigsten verwendeten Ports sind 443, 10250 und 6443
Lesen Sie auch: Die besten Lösungen für Containersicherheit
Kubernetes-Sicherheitsprobleme und -risiken
Kubernetes ist ein sehr beliebtes System zur Container-Orchestrierung. Der Name stammt vom griechischen Wort für „Steuermann“. Die Bezeichnungen „K8s“ oder „K-eights“ werden ebenfalls für diese Technologie verwendet.
Viele Organisationen verwalten ihre Anwendungen mit Kubernetes mithilfe eigenständiger Einheiten, die als „Pods“ bezeichnet werden. Diese teilen gemeinsame Ressourcen mit anderen Einheiten, ohne voneinander zu wissen. So können beispielsweise „npm start“- oder „go run“-Prozesse in Pods verwaltet werden und sich einen Teil der CPU- und RAM-Ressourcen teilen.
K8s erleichtert das Bereitstellen, Verwalten und Skalieren von Containern, die häufig aus Microservices und ihren Konfigurationsdateien bestehen. Wenn die Arbeitslast zu- oder abnimmt, kann Kubernetes die Situation automatisch bewältigen.
Ein wichtiger Sicherheitsaspekt von Kubernetes ist die Zugriffskontrolle. Jede Fehlkonfiguration kann zu ungewollten Offenlegungen führen, und Angreifer könnten sie sogar nutzen, um aus Containern auszubrechen und ihre Berechtigungen auszuweiten. Darüber hinaus stellt Kubernetes APIs, CLI-Befehle und Benutzeroberflächen bereit, die für Hacker attraktiv sein könnten.
Cyble erklärte, der Scan „bedeutet nicht zwangsläufig, dass alle offengelegten Instanzen für Angriffe anfällig sind oder zum Verlust sensibler Daten führen“, sondern „unterstreicht das Vorhandensein scheinbar einfacher Fehlkonfigurationspraktiken, die Unternehmen künftig zu lukrativen Zielen für TAs machen könnten.“
Kubernetes schützen
Auch wenn sich nicht alles vorhersehen lässt, gibt es bewährte Maßnahmen für die Sicherheit von Kubernetes-Pods:
- Nur Nicht-Root-Benutzer zulassen
- Führen Sie regelmäßig Schwachstellenscans für Container durch (dabei werden Fehlkonfigurationen erkannt)
- Verwenden Sie Kubernetes-Secrets statt fest codierter Zugangsdaten in Konfigurationsdateien
- Anonyme Anmeldungen deaktivieren
- Härten Sie die Authentifizierung ab, insbesondere wenn sie nicht standardmäßig aktiviert ist
- Aktualisieren und installieren Sie alle Sicherheits-Patches.
- Entfernen Sie nutzlose oder nicht mehr verwendete Komponenten
Seien Sie außerdem besonders aufmerksam bei den von Kubernetes-APIs zurückgegebenen Fehlercodes. Hacker werden sie wahrscheinlich verwenden, um festzustellen, ob sie weitere Angriffe versuchen können. Wenn die Kubelet-API, die die Kommunikation zwischen der Kubernetes-Steuerebene und den Knoten verwaltet, beispielsweise nicht authentifizierte Anfragen akzeptiert, aber einen 403-Fehler zurückgibt, werden Hacker den Angriff wahrscheinlich einstellen.
Gibt sie jedoch einen 401-Fehler zurück, versuchen sie möglicherweise andere Exploits, da ein solcher Fehler zeigt, dass ein Kubernetes-Cluster in der Umgebung funktioniert.
Die Ergebnisse von Cyble offenbarten „eine kleine Teilmenge von 799 Kubernetes-Instanzen, die den Statuscode 200 zurückgeben und externen Angreifern vollständig offenstehen. In diesen Fällen können Bedrohungsakteure ohne Passwort auf die Knoten im Kubernetes-Dashboard zugreifen, alle Secrets einsehen, Aktionen ausführen usw.“
Lesen Sie weiter: Bewährte Vorgehensweisen für die Container- und Kubernetes-Sicherheit