capDrop Kubernetes

Définition

capDrop est une directive Kubernetes dans le securityContext permettant de supprimer des Linux Capabilities spécifiques des conteneurs. Les Linux Capabilities décomposent les privilèges root en unités distinctes (NET_RAW, SYS_PTRACE, NET_ADMIN, etc.). La bonne pratique est capabilities.drop: ["ALL"] combinée avec capabilities.add pour les seules capabilities strictement nécessaires. Les capabilities dangereuses à éviter dans les conteneurs : SYS_ADMIN (la capability fourre-tout permettant potentiellement l'évasion de conteneur), NET_ADMIN (modification des règles réseau et interfaces), NET_RAW (raw sockets permettant les attaques ARP spoofing et le sniffing), et SYS_PTRACE (injection de code dans des processus d'autres namespaces). La configuration du securityContext recommandée par les Pod Security Standards Restricted impose capabilities.drop: ["ALL"], runAsNonRoot: true, readOnlyRootFilesystem: true, et allowPrivilegeEscalation: false. Cette configuration forme le baseline de sécurité que tout conteneur de production devrait respecter. Les capability sets dans les conteneurs incluent le set permis (Permitted), le set effectif (Effective), et le set héritable (Inheritable). Docker accorde par défaut un sous-ensemble de capabilities incluant NET_RAW, CHOWN, et MKNOD qui représentent une surface d'attaque inutile pour les applications web standard. L'audit des capabilities en production peut se faire avec kubectl-cap ou directement via kubectl get pods -o jsonpath inspecant les securityContext. Des outils CSPM comme Wiz, Orca, et Prisma Cloud auditent automatiquement les capabilities et alertent sur les pods utilisant SYS_ADMIN ou NET_ADMIN, capabilities souvent présentes dans les clusters par erreur de configuration.