Kubernetes Threat Matrix

Définition

La Kubernetes Threat Matrix (Matrice de Menaces Kubernetes) est un framework adapté du MITRE ATT&CK qui catalogue les techniques d'attaque spécifiques aux environnements Kubernetes. Développée initialement par Microsoft Security en 2020 et régulièrement mise à jour, elle organise les vecteurs d'attaque en tactiques (phases d'une attaque) et techniques (méthodes spécifiques), permettant aux équipes de sécurité de comprendre et de détecter les attaques ciblant leurs clusters Kubernetes. La Kubernetes Threat Matrix couvre les tactiques suivantes. Initial Access : exploitation de tableaux de bord Kubernetes exposés, accès via des credentials cloud compromis (kubeconfig exfiltrés), utilisation d'images de conteneurs malveillantes, application web vulnérable dans un pod. Execution : exécution de commandes via exec, création de jobs ou CronJobs malveillants, déploiement de conteneurs avec des commandes d'attaque. Persistence : backdoors via ClusterRoleBindings persistants, pods malveillants dans kube-system, DaemonSets sur tous les nœuds. Privilege Escalation : évasion de conteneur vers l'hôte, abus des rôles RBAC permissifs, exploitation des serviceaccounts avec des permissions excessives. Defense Evasion : suppression des logs Kubernetes, déploiement dans des namespaces oubliés, usage de noms de pods légitimes pour le camouflage. Credential Access : vol des tokens de ServiceAccount depuis /var/run/secrets/kubernetes.io/serviceaccount, accès aux Secrets du cluster via RBAC, exploitation des métadonnées de l'instance cloud via SSRF. Discovery : listing des ressources Kubernetes (pods, services, secrets), mapping du réseau interne via des connexions depuis les pods. Lateral Movement : accès aux services via les DNS internes Kubernetes, utilisation des credentials cloud récupérés pour accéder à d'autres services. Impact : suppression de ressources, cryptomining via des jobs batch, exfiltration de données depuis les buckets cloud.