Seguridad en Cloud / Contenedores / Kubernetes

¿Qué hace Contenedores / Kubernetes?

ACCIÓN REQUERIDA (leer y ejecutar inmediatamente)

1. AHORA: Leer ../field-journal/precedent-pentest.md — Las pruebas en Cloud/K8s requieren autorización por escrito
2. AHORA: case-init + scope; definir claramente los límites de la cuenta, prohibir operaciones destructivas
3. AHORA: Confirmar si se trata de metadatos de cloud/contenedores/K8s/IAM, no un escaneo web común (este último va en pentest-tools/)
4. SIGUIENTE: tool-index; kubectl/aws/gcloud suelen instalarse manualmente
5. ACTUAR: Comenzar desde "Identidad y Superficie de Exposición", prohibido escanear toda la red por defecto

Escenarios Aplicables

• SSRF de metadatos cloud (169.254.169.254 / IMDS)
• Permisos excesivos de IAM, buckets públicos, grupos de seguridad incorrectos
• Evaluación de rutas de escape en Docker/containerd
• RBAC en Kubernetes, Secrets, Admission, imágenes de supply chain
• Vulnerabilidades en imágenes de contenedores (puede integrarse con supply-chain-security/)

Flujo de Trabajo

Fase 1 — Identidad y Límites

□ Identidad actual: AK/SK cloud, SA de K8s, SSH al nodo?
□ Alcance: cuenta única / clúster único / namespace único
□ Barrera de red: authorized_target_only

Fase 2 — Plano de Control Cloud

# Ejemplo (reemplazar según proveedor; DEBE estar dentro de la cuenta autorizada)
aws sts get-caller-identity
aws s3 ls
# Azure / GCP comandos de identidad equivalentes

□ Buckets públicos / ACL incorrectas
□ Metadatos: IMDSv1 vs v2; cadena SSRF
□ Roles asumibles (PassRole) y movimiento lateral

Fase 3 — Contenedores

□ ¿Es privileged / hostPath / hostNetwork?
□ capabilities (SYS_ADMIN, etc.)
□ Rutas de host escribibles → candidato a escape
□ Historial de imágenes y CVEs conocidos → Trivy

Fase 4 — Kubernetes

kubectl auth can-i --list
kubectl get pods,secrets,svc -A
kubectl get clusterrolebindings

□ Token de SA montado y sus permisos
□ Ausencia de admission webhook peligroso
□ etcd / dashboard expuesto
□ ¿Las políticas de red permiten todo por defecto?

Cadena de Herramientas

Herramienta	Uso	Arranque
kubectl	Interacción con clúster	Manual
trivy	Imágenes/IaC	bootstrap trivy si está disponible
kube-bench / kubeaudit	CIS/Configuración	Manual
pacu / scoutsuite	Auditoría cloud (autorizada)	Manual
nuclei	Plantillas de vulnerabilidades cloud conocidas	bootstrap ecosistema nmap/nuclei

Referencias

• references/k8s-cloud-checklist.md
• Comparación CTF: ../../CTF-Sandbox-Orchestrator/competition-agent-cloud/
• ../supply-chain-security/ ../pentest-tools/

Contexto de Enrutamiento

Upstream: MASTER R23
Downstream: Obtener shell del nodo → attack-chain / windows-ad; vulnerabilidades de imágenes → supply-chain
NO DEBE: Escanear sin autorización a otros inquilinos del cloud público

Autoverificación de Finalización

• ¿Se ha limitado a la cuenta/clúster autorizado?
• ¿Los hallazgos incluyen reproducción e impacto?
• ¿Se han evitado operaciones destructivas?
• ¿Reporte / journal?