# 30 分鐘打下 K8s - YSc

{%hackmd @k8ssummit/HJIAQ-0VP %}

> 從這開始
[TOC]

## 基礎上的問題
配置
網路管理
金鑰管理
權限管理

## 應用上的問題
pod 上面的應用
設定檔檢查
映像檔安全
服務運行時的資安

## 攻擊案例：偷走kube-env -》大內網延伸的問題
- kube-env內含node private key
- k8s是大內網，裡面全部都是通的，沒有任何阻擋
- 例如一個上傳圖片的服務，提供一個URL，他就把URL的內容抓下來給你
- URL如果你沒有過濾，駭客就可以送進`http://169.254.169.254/`，把kube-env偷走
- 進一步可以拿到image --> 甚至可以拿到secret，如果寫死在source code裡面的話
- 再進一步可以湊出kubecfg，拿到cluster admin權限，打下k8s結束

1. 有安全漏洞的pod滲透進去，透過該漏洞打到 metadata
2. 打 metadata

* 可以拉 image，可以拿到 source code
* kops state 可以湊 kubecfg
3. 有了 kubecfg 就可以控制所有 resource

### k8s最需要被保護的是ETCD，他是k8s的大腦

## 防禦
1. 網路管理最重要
2. state, 權限要管理好
3. protect cluster metadata server
4. 裝 pod 間的防火牆，避免大內網暢通無阻。

## reference
[11 ways not to get hacked(by google)](https://kubernetes.io/blog/2018/07/18/11-ways-not-to-get-hacked/)

###### tags: `k8ssummit20` `k8s`