k8s (in)security

Synacktiv опубликовали подробный разбор цифровой криминалистики в Amazon EKS. Статья посвящена источникам данных и инструментам, которые помогают расследовать компрометацию Kubernetes-кластера и восстанавливать последовательность действий атакующего.

Авторы рассматривают три уровня сбора артефактов: Kubernetes Control Plane, Worker Nodes и инфраструктуру AWS. Особое внимание уделено Audit Logs, CloudWatch Container Insights, GuardDuty, CloudTrail и VPC Flow Logs. На практических примерах показано, как обнаруживать RBAC reconnaissance, попытки эскалации привилегий, запуск привилегированных контейнеров, кражу IAM credentials и закрепление через Static Pods.

Расследование инцидента в EKS (в целом как и везде) во многом зависит от того, какие логи и механизмы мониторинга были настроены заранее. По умолчанию значительная часть телеметрии отключена, а после перезапуска или удаления Pod можно потерять критически важные артефакты. Статья также содержит готовые запросы для CloudWatch Logs Insights, которые можно использовать при расследовании.

Сейчас в северной Америке проходит KubeCon + CloudNativeCon 2026 и завтра будет последний день, но уже сейчас на сайте доступны слайды с ряда презентаций (видео обычно становится доступно в течении месяца).

Нам, конечно, в первую очередь интересна категория докладов Security (но часто на эту тему попадают и в другие категории). И нельзя не отметить категорию AI Inference + Agentic.

Всем, привет!

12 ноября мы с командой расскажем нашу историю получения сертификата ФСТЭК России на наше решение Luntry!

В рамках вебинара мы расскажем:
1) Требования регулятора в области защиты контейнерных систем
2) Детали сертификации Luntry
3) Создание защищенной контейнерной системы вместе с Luntry

Зарегистрироваться на вебинар можно тут.