Kubernetes Forensics
forensicsDéfinition
Investigation d'incidents Kubernetes : analyse des audit logs API server, events, logs de pods compromis, inspection des images et reconstitution des actions de l'attaquant dans le cluster.
Description
La forensique Kubernetes implique l'analyse des audit logs de l'API server (chaque action RBAC horodatée), des events des pods, des logs de conteneurs compromis via kubectl logs, et la reconstitution des actions de l'attaquant dans le cluster, notamment les escalades de privilèges et les déploiements malveillants.
Usage forensique
Outils : Falco pour la détection temps réel, kubectl get events, analyse des CRDs (Custom Resource Definitions) modifiées, inspection des ConfigMaps et Secrets exfiltrés. Preservation via kubectl get --export.
Points clés
- Audit policy YAML : activer le logging de niveau RequestResponse pour toutes les ressources sensibles
- ETCD snapshot forensique pour récupérer l'état du cluster à un instant T antérieur
- Falcosidekick : forwarding des alertes Falco vers SIEM/Slack pour la détection en temps réel
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis