Sécurité Cloud / Conteneur / Kubernetes
ACTION REQUISE (lire et exécuter immédiatement)
MAINTENANT: Lire../field-journal/precedent-pentest.md— Les tests cloud/K8s nécessitent une autorisation écriteMAINTENANT: case-init + scope ; définir clairement les limites des comptes, interdire les opérations destructricesMAINTENANT: Confirmer qu'il s'agit de métadonnées cloud/conteneurs/K8s/IAM, et non d'un scan web standard (ce dernier relève depentest-tools/)SUIVANT: tool-index ; kubectl/aws/gcloud sont souvent à installer manuellementACTION: Commencer par « identité et surface d'attaque », interdire les scans réseau par défaut
Scénarios applicables
- SSRF de métadonnées cloud (169.254.169.254 / IMDS)
- Permissions IAM excessives, buckets de stockage publics, mauvais groupes de sécurité
- Évaluation des chemins d'évasion Docker/containerd
- RBAC Kubernetes, Secrets, Admission, images de la chaîne d'approvisionnement
- Vulnérabilités d'images conteneur (peut être lié à
supply-chain-security/)
Workflow
Phase 1 — Identité et périmètre
□ Identité actuelle : clé AK/SK cloud, SA K8s, SSH nœud ?
□ Périmètre : un seul compte / un seul cluster / un seul namespace
□ Réseau : authorized_target_only
Phase 2 — Plan de contrôle cloud
# Exemple (à remplacer selon le fournisseur ; DOIT être dans le compte autorisé)
aws sts get-caller-identity
aws s3 ls
# Commandes d'identité correspondantes pour Azure / GCP
□ Buckets publics / ACL erronées
□ Métadonnées : IMDSv1 vs v2 ; chaîne SSRF
□ Rôles assumables (PassRole) et mouvement latéral
Phase 3 — Conteneurs
□ Conteneur privileged / hostPath / hostNetwork ?
□ Capacités (SYS_ADMIN, etc.)
□ Chemins hôtes inscriptibles → candidats à l'évasion
□ Historique d'image et CVE connus → Trivy
Phase 4 — Kubernetes
kubectl auth can-i --list
kubectl get pods,secrets,svc -A
kubectl get clusterrolebindings
□ Montage et permissions du token SA
□ Absence de webhook d'admission dangereux
□ Exposition etcd / dashboard
□ Politiques réseau : autorisation par défaut ?
Chaîne d'outils
| Outil | Utilisation | Auto-initialisation |
|---|---|---|
| kubectl | Interaction avec le cluster | Manuel |
| trivy | Images/IaC | bootstrap trivy si disponible |
| kube-bench / kubeaudit | CIS/configuration | Manuel |
| pacu / scoutsuite | Audit cloud (autorisé) | Manuel |
| nuclei | Modèles de vulnérabilités cloud connus | bootstrap écosystème nmap/nuclei |
Références
references/k8s-cloud-checklist.md- Référence CTF :
../../CTF-Sandbox-Orchestrator/competition-agent-cloud/ ../supply-chain-security/../pentest-tools/
Contexte de routage
Amont : MASTER R23
Aval : Obtention d'un shell nœud → attack-chain / windows-ad ; vulnérabilités d'image → supply-chain
NE DOIT PAS : Scanner d'autres locataires cloud sans autorisation
Auto-vérification de fin de tâche
- Limité au compte/cluster autorisé ?
- Les découvertes incluent-elles reproduction et impact ?
- Évité les opérations destructrices ?
- Rapport / journal ?