微软威胁矩阵不是雷神之锤( 二 ) 安全牛评无论是机器学习还是

Kubernetes基础设施自动化工具，例如应用程序和基础设施监视以及微服务生命周期自治控制器；

有权在集群内执行操作的人工操作员（DevOps/站点可靠性工程人员）。

以下，我们一起来“遍历”Azure Kubernetes威胁矩阵中缺少的重要安全元素。在下面这个矩阵中，粗体项目是Azure Kubernets矩阵中没有的，值得注意的威胁：

文章插图

文章插图
资料来源：Gadi Naor
Azure威胁矩阵遗漏的一个值得注意的组件是“命令与控制”（C2）威胁类别，该类别在原始的MITER ATT＆CK矩阵中可以找到。事实证明， C2仍是Kubernetes用户关注的问题，它应该是Kubernetes威胁矩阵的一部分。
Kubernetes高度依赖DNS作为其服务发现的关键基础架构。建立隐蔽通道的常见做法是利用DNS协议消息交换中的固有弱点。因此，监视Kubernetes群集内的DNS活动非常重要，可以检测并有可能阻止C2建立隐蔽通道。
Azure Matrix在权限提升方面也存在差距。最新的CVE显示，攻击权限可以从节点提升到整个群集，也可以从群集提升到托管云环境。准入控制器和Kubernetes operator也可能遭到侵入，就前置安全性而言这是不可省略的。
Azure Matrix中缺失的另一点是Kubernetes威胁的持久性。攻击者可以直接在节点上启动容器，而Kubernetes不会管理容器，这对于DevOps来说是一个盲点。如果攻击者破坏了准入控制器，他们还可以将恶意代码注入任何一个容器中。最后，攻击者可以将脚本插入容器生命周期挂钩中来执行并持续进行攻击，这是一种Kubernetes机制，可以在预定的时间点运行脚本。

文章插图
合作电话：18311333376
合作微信：aqniu001
投稿邮箱：editor@aqniu.com

文章插图