Почему обычный сканер пасует в Kubernetes: VM для контейнеров и облаков

Значимый прорыв формирует отрасль ИИ: Hima_Hahahai 19 минут назад Краткое содержание статьи Почему обычный сканер пасует в Kubernetes: VM для контейнеров и облаков Средний 8 мин 648 Информационная безопасность * IT-инфраструктура * Туториал 📚Это часть 18 серии “Управление уязвимостями для самых маленьких” - практического руководства по VM с нуля. Главы самостоятельны, но если хочется по порядку, оглавление и все части серии тут. Мир уходит от “железных” серверов в стойке к контейнерам и облакам.

Это удобно, быстро и дешево, но управление уязвимостями в этих средах устроено иначе, и классический сканер тут часто бессилен. Показательна история Tesla. В феврале 2018 года исследователи RedLock обнаружили: административная панель Kubernetes в облаке Tesla была открыта в интернет без пароля.

Технические детали

Через один из подов злоумышленники добрались до AWS-кредов и запустили майнинг криптовалюты: трафик прятали за Cloudflare, порт использовали нестандартный, нагрузку на CPU намеренно занижали, чтобы не спалиться. Tesla закрыла дыру за несколько часов после уведомления по bug bounty. Ни одной уязвимости в коде, только рядовая ошибка конфигурации, которая отдала атакующим доступ к инфраструктуре.

Контейнеры: что это и почему сложноКонтейнер - изолированное пространство, в котором запущено приложение со всеми зависимостями. Контейнеры запускаются быстрее и занимают меньше места, чем виртуальные машины, приложение отделено от инфраструктуры, а на одном узле можно запустить множество контейнеров. Прижились они почти везде.

По данным Red Hat State of Kubernetes Security Report (2024), 89% организаций за последний год столкнулись хотя бы с одним инцидентом безопасности, связанным с контейнерами или Kubernetes. При этом часть компаний прямо не спешит переходить в облако именно из-за опасений за безопасность. Контейнеры - это удобно, но это и новая большая поверхность атаки.

Отраслевые последствия

Самая распространенная платформа контейнеризации - Docker. Его части: host, узел, на котором установлен Docker; Docker daemon, центральный компонент, управляющий образами и контейнерами; Dockerfile, текстовый файл с инструкциями по сборке образа; Docker image, образ со всеми компонентами для работы приложения; Docker Registry или Docker Hub, хранилище образов; Docker Client, через который пользователь с Docker и работает. Уязвимый образ контейнера становится точкой входа: через него злоумышленник добирается до других контейнеров, хост-системы, внутренних ресурсов и данных.

Уязвимости в библиотеках образа, уязвимости ОС, неправильные настройки - все это векторы атаки. Почему обычный сканер не справляетсяКонтейнеры живут секунды: что здесь вообще считать активом? Казалось бы, процесс VM для контейнеров тот же: инвентаризация, классификация, поиск уязвимостей, устранение, контроль.

На практике все сложнее. Они создаются и уничтожаются динамически, их количество меняется в зависимости от нагрузки. Что здесь вообще считать активом?

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.