Cloud / Container / Kubernetes-Sicherheit
AKTION ERFORDERLICH (lesen und sofort ausführen)
JETZT:../field-journal/precedent-pentest.mdlesen — Cloud-/K8s-Tests benötigen schriftliche AutorisierungJETZT: case-init + scope; Account-Grenzen klären, zerstörende Operationen verbietenJETZT: Bestätigen, dass es sich um Cloud-Metadaten/Container/K8s/IAM handelt, nicht um normales Web-Scanning (letzteres inpentest-tools/)NÄCHSTES: tool-index; kubectl/aws/gcloud etc. sind meist manuell installiertAKTION: Mit „Identität und Angriffsfläche“ beginnen, kein standardmäßiges Scannen des gesamten Netzwerks
Anwendungsfälle
- Cloud-Metadaten-SSRF (169.254.169.254 / IMDS)
- Übermäßige IAM-Berechtigungen, öffentliche Speicher-Buckets, falsche Sicherheitsgruppen
- Docker/containerd-Escape-Pfadbewertung
- Kubernetes RBAC, Secrets, Admission, Supply-Chain-Images
- Container-Image-Schwachstellen (verknüpfbar mit
supply-chain-security/)
Arbeitsablauf
Phase 1 — Identität und Grenzen
□ Aktuelle Identität: Cloud AK/SK, K8s SA, Knoten SSH?
□ Bereich: Einzel-Account / Einzel-Cluster / Einzel-Namespace
□ Netzwerk-Sperre: authorized_target_only
Phase 2 — Cloud Control Plane
# Beispiel (nach Anbieter ersetzen; MUSS innerhalb autorisierter Accounts sein)
aws sts get-caller-identity
aws s3 ls
# Azure / GCP entsprechende identity-Befehle
□ Öffentliche Buckets / falsche ACLs
□ Metadaten: IMDSv1 vs v2; SSRF-Ketten
□ Rollen, die übernommen werden können (PassRole) und laterale Bewegung
Phase 3 — Container
□ privileged / hostPath / hostNetwork vorhanden?
□ Capabilities (SYS_ADMIN etc.)
□ Beschreibbare Host-Pfade → Escape-Kandidaten
□ Image-Historie und bekannte CVEs → Trivy
Phase 4 — Kubernetes
kubectl auth can-i --list
kubectl get pods,secrets,svc -A
kubectl get clusterrolebindings
□ SA-Token-Mount und Berechtigungen
□ Fehlender gefährlicher Admission-Webhook
□ etcd / Dashboard exponierte Endpunkte
□ Standardmäßig erlaubende Netzwerkrichtlinien?
Toolchain
| Tool | Verwendung | Bootstrap |
|---|---|---|
| kubectl | Cluster-Interaktion | Manuell |
| trivy | Image/IaC | bootstrap trivy falls verfügbar |
| kube-bench / kubeaudit | CIS/Konfiguration | Manuell |
| pacu / scoutsuite | Cloud-Audit (autorisiert) | Manuell |
| nuclei | Bekannte Cloud-Schwachstellen-Vorlagen | bootstrap nmap/nuclei-Ökosystem |
Referenzen
references/k8s-cloud-checklist.md- CTF-Vergleich:
../../CTF-Sandbox-Orchestrator/competition-agent-cloud/ ../supply-chain-security/../pentest-tools/
Routing-Kontext
Upstream: MASTER R23
Downstream: Zugriff auf Knoten-Shell → attack-chain / windows-ad; Image-Schwachstellen → supply-chain
DARF NICHT: Unautorisiert andere Mieter in der öffentlichen Cloud scannen
Aufgabenabschluss-Checkliste
- Auf autorisierten Account/Cluster beschränkt?
- Enthalten die Funde Reproduktionsschritte und Auswirkungen?
- Wurden zerstörende Operationen vermieden?
- Bericht / Journal erstellt?