Kubernetes Attack Surface

Définition

La Kubernetes Attack Surface est l'ensemble des vecteurs d'attaque potentiels dans un cluster Kubernetes. Elle comprend le plan de contrôle (kube-apiserver, etcd, kubelet), le réseau (NodePorts, LoadBalancers, NetworkPolicies permissives), les workloads (images vulnérables, conteneurs privilegiés, hostPath mounts), et la supply chain (images publiques non vérifiées, Helm charts de sources non fiables). Le plan de contrôle est la cible la plus critique : le kube-apiserver expose l'API Kubernetes sur le port 6443. Une authentification anonyme activée ou des autorisations RBAC trop permissives permettent à n'importe qui d'atteindre le cluster. Le kubelet écoute sur le port 10250 et peut permettre l'exécution de commandes dans les pods si mal configuré. Au niveau réseau, chaque service NodePort crée un point d'entrée sur tous les nœuds du cluster. Les LoadBalancers exposent des services directement sur Internet. L'absence de NetworkPolicies par défaut (default deny) permet à n'importe quel pod de communiquer avec n'importe quel autre pod, facilitant le mouvement latéral après compromission d'un pod. Les workloads non durcis constituent la majorité de la surface d'attaque : conteneurs s'exécutant en root, images avec des CVEs critiques, volumes hostPath montant le filesystem hôte dans le conteneur, et ServiceAccounts avec des droits RBAC excessifs permettant de contrôler d'autres pods ou de lire des Secrets. La réduction de la surface d'attaque Kubernetes suit une approche en couches : réduire les composants exposés réseau, renforcer l'authentification RBAC, appliquer le moindre privilège aux workloads, sécuriser les images (scan, signing), et surveiller en temps réel avec Falco ou Sysdig pour détecter les comportements anormaux indiquant une exploitation.