2025云原生安全攻防啟示_第1頁
2025云原生安全攻防啟示_第2頁
2025云原生安全攻防啟示_第3頁
2025云原生安全攻防啟示_第4頁
2025云原生安全攻防啟示_第5頁
已閱讀5頁，還剩25頁未讀， 繼續(xù)免費閱讀

下載本文檔

版權說明：本文檔由用戶提供并上傳，收益歸屬內(nèi)容提供方，若內(nèi)容存在侵權，請進行舉報或認領

文檔簡介

云原生安全攻防啟示contents|目錄4C'云原生安全云上身份攻擊從K8s到Cloud攻防啟示/014C'云原生安全4C'云原生安全4C'云原生安全-Cloud身份和訪問管理漏洞API濫用和未經(jīng)授權訪問云產(chǎn)品信任關系濫用API密鑰泄露云平臺元數(shù)據(jù)濫用身份冒用4C'云原生安全-Cluster多租戶隔離漏洞Secrets對象濫用服務間未授權訪問APIServer未授權訪問K8s自身漏洞錯誤配置4C'云原生安全–Container

&

Code鏡像漏洞容器逃逸內(nèi)核漏洞錯誤配置應用程序漏洞/02云上身份攻擊4C'云原生安全–Container

&

Code基于資源的策略基于資源的策略基于資源的策略攻擊思路如果權限細化的非常嚴格，則敏感角色是我們有限攻擊目標權限過高則則將目標放在資源上即使一個賬戶沒有任何權限，依然可以對配置基于資源的策略對象進行操作基于資源的策略攻擊思路當我們掌握一個身份后，我們非常關注它的身份策略，以及他可以執(zhí)行的操作，同時我們應該注意環(huán)境中可能存在很多資源，這些資源可能具備預置的某些權限信任關系，這些可能是我們可以利用的一個突破口。基于資源的策略攻擊思路基于資源的策略不僅僅應用在S3上，還有大量云上基礎資源，任何一個受到攻擊都會影響巨大案例分析IMDS攻擊利用Meta-data：用來查詢服務器實例ID、網(wǎng)絡ID等信息User-data：在第一次啟動或重新啟動服務器時安裝軟件、下載代理、下載配置文件、啟動某些程序、檢查配置等操作IMDS攻擊利用提權敏感信息收集橫向移動可以訪問哪些資源硬編碼憑據(jù)以root權限運行的腳本AK/SK利用防護繞過新啟服務器實例云函數(shù)VPC/03從K8s到Cloud從K8s到Cloud獲取到一個pod之后，它的權限可能是這樣的從K8s到Cloud獲取到一個pod權限后，能做的事情很多下載所有私有倉庫鏡像查看所有鏡像漏洞掃描結果測繪網(wǎng)絡拓撲創(chuàng)建、修改、刪除網(wǎng)絡接口修改安全組案例分析API濫用提權Azure常用APIlistClusterUserCredentiallistClusterMonitoringUserCredentiallistClusterAdminCredentiallistCredential繞過私有集群限制繞過私有集群限制Runcommand互聯(lián)網(wǎng)訪問私有集群所有集群中默認啟用執(zhí)行命令的Pod默認是以集群管理員形式啟動獲取到具有該權限的賬戶則可控整個集群Say

admin

without

saying

adminAKS-services

role挖掘類似的風險點是云上攻擊的關鍵所在/04攻防啟示ending

溫馨提示

  • 1. 本站所有資源如無特殊說明，都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等，如果需要附件，請聯(lián)系上傳者。文件的所有權益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙，網(wǎng)頁內(nèi)容里面會有圖紙預覽，若沒有圖紙預覽就沒有圖紙。
  • 4. 未經(jīng)權益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
  • 5. 人人文庫網(wǎng)僅提供信息存儲空間，僅對用戶上傳內(nèi)容的表現(xiàn)方式做保護處理，對用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯，并不能對任何下載內(nèi)容負責。
  • 6. 下載文件中如有侵權或不適當內(nèi)容，請與我們聯(lián)系，我們立即糾正。
  • 7. 本站不保證下載資源的準確性、安全性和完整性, 同時也不承擔用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。

評論

0/150

提交評論