Cyber Security: Источник Kubernetes
Описание источника
Источником служат журналы аудита кластеров Kubernetes. Правила источника выявляют анонимный и несанкционированный доступ к API, перебор разрешений, чтение секретов, запуск команд в контейнерах, создание привилегированных подов, изменение ролей и привязок и удаление событий аудита.
Правила анализируют субъект, действие, ресурс, namespace и решение авторизации в запросах к API кластера. Для изменяющих запросов правила анализируют также тело запроса.
Требования к сбору
- политика аудита и параметры журнала аудита
kube-apiserver, см. Настройка источников на инфраструктуре - конфигурация сбора
Kubernetes, см. Подключение и настройка сбора данных
Покрытие MITRE ATT&CK
Правила источника охватывают следующие тактики.
- разведка
- первоначальный доступ
- выполнение
- закрепление
- повышение привилегий
- скрытность
- получение учетных данных
- изучение
Справочники
Правила источника не используют справочники. Штатная автоматизация (CI-раннеры, операторы) исключается в условии правила, см. Адаптация под инфраструктуру.
Перечень правил источника с тактиками и техниками MITRE ATT&CK, идентификаторами и используемыми справочниками приведен в документе «Описание экспертизы Cyber Security», который поставляется вместе с модулем.