2018年，RedLock云安全團(tuán)隊(duì)掃描公網(wǎng)時(shí)發(fā)現(xiàn)一個(gè)Kubernetes控制臺——沒密碼，直接進(jìn)。歸屬查詢指向特斯拉。攻擊者已經(jīng)在里面部署了挖礦容器，電費(fèi)賬單算在特斯拉AWS賬戶上。

這不是什么高級零日漏洞。集群默認(rèn)配置沒改，三層基礎(chǔ)防護(hù)全關(guān)：控制臺無認(rèn)證、出站流量無限制、入侵檢測為零。任意一層開著都能攔住攻擊。三層全空。

Kubernetes的設(shè)計(jì)哲學(xué)是"先跑起來"。默認(rèn)全開權(quán)限，開發(fā)體驗(yàn)順滑。這套邏輯在筆記本上沒問題，放到生產(chǎn)環(huán)境就是敞門迎客。

第一層：RBAC——誰能在API里做什么

API服務(wù)器是集群的唯一入口。每個(gè)kubectl命令、每次CI部署、每個(gè)控制器的調(diào)諧循環(huán)，請求都流向這里。拿到API訪問權(quán)限等于拿到集群遙控器：建容器、讀密鑰、改工作負(fù)載。

RBAC（基于角色的訪問控制，Role-Based Access Control）用四個(gè)對象解決這個(gè)問題：Role定義命名空間內(nèi)的權(quán)限，ClusterRole跨命名空間生效；RoleBinding把用戶/服務(wù)賬號綁到Role，ClusterRoleBinding同理但范圍更大。

權(quán)限顆粒度由三個(gè)維度決定：資源（pods/services/secrets）、動(dòng)作（get/list/create/delete）、API組（核心API或擴(kuò)展如metrics.k8s.io）。用kubectl api-resources -o wide能看到完整清單。

特斯拉事件中，攻擊者通過暴露的控制臺直接獲得集群管理員權(quán)限——相當(dāng)于RBAC完全沒配。正確做法是：給CI流水線單獨(dú)建服務(wù)賬號，只開放deployment和pod的create/update權(quán)限，secret只讀特定命名空間。rakkess和rbac-lookup這兩個(gè)工具能可視化現(xiàn)有權(quán)限分布，快速發(fā)現(xiàn)"誰有cluster-admin"這種危險(xiǎn)配置。

第二層：Pod運(yùn)行時(shí)加固——容器里能干什么

RBAC管的是"誰能調(diào)度容器"，Pod安全管的是"容器跑起來之后能干什么"。Kubernetes 1.25之后，Pod Security Admission（PSA）取代舊版PodSecurityPolicy，用三個(gè)預(yù)設(shè)級別管控：Privileged（無限制）、Baseline（禁止已知危險(xiǎn)配置）、Restricted（最小權(quán)限原則）。

更細(xì)粒度的控制靠securityContext字段。runAsNonRoot: true阻止容器以root運(yùn)行；readOnlyRootFilesystem: true讓根文件系統(tǒng)只讀，即使入侵也寫不了惡意文件；allowPrivilegeEscalation: false禁止進(jìn)程提升權(quán)限；capabilities的drop: ["ALL"]再按需add，把Linux權(quán)能降到最小集合。

OPA/Gatekeeper和Kyverno是兩種策略即代碼方案。Gatekeeper用Rego語言寫策略，功能強(qiáng)但學(xué)習(xí)曲線陡；Kyverno用YAML聲明式語法，和Kubernetes原生體驗(yàn)一致。選型看團(tuán)隊(duì)背景：有Go基礎(chǔ)選Gatekeeper，運(yùn)維團(tuán)隊(duì)主導(dǎo)選Kyverno。

第三層：運(yùn)行時(shí)檢測——攻擊發(fā)生時(shí)看見它

前兩層是預(yù)防，F(xiàn)alco負(fù)責(zé)檢測。它在內(nèi)核態(tài)用eBPF（或傳統(tǒng)驅(qū)動(dòng)）捕獲系統(tǒng)調(diào)用，規(guī)則引擎匹配異常行為。比如：容器內(nèi)啟動(dòng)shell、敏感目錄寫入、非預(yù)期進(jìn)程fork、出站連接到稀有IP。

規(guī)則寫成YAML，核心字段是condition表達(dá)式。示例：檢測到bash在容器內(nèi)運(yùn)行時(shí)觸發(fā)告警。Falco支持輸出到stdout、文件、Webhook、Slack等多路通道，和現(xiàn)有SIEM對接無壓力。

部署架構(gòu)上，F(xiàn)alco以DaemonSet跑在每個(gè)節(jié)點(diǎn)，共享宿主機(jī)內(nèi)核。資源開銷可控：典型配置下CPU占用<5%，內(nèi)存<200MB。對比被挖礦的損失，這點(diǎn)成本忽略不計(jì)。

RedLock在報(bào)告中提到，特斯拉事件持續(xù)了數(shù)月才被發(fā)現(xiàn)。攻擊者用的是公開礦池地址，流量特征明顯——如果有Falco這類工具監(jiān)控出站連接，告警應(yīng)該在分鐘級觸發(fā)，而非月級。

三層防線配齊之后，集群姿態(tài)從"默認(rèn)裸奔"變成"最小權(quán)限+實(shí)時(shí)感知"。但配置只是起點(diǎn)，持續(xù)審計(jì)才能維持：RBAC權(quán)限隨人員變動(dòng)膨脹，Pod模板復(fù)制粘貼容易漏掉securityContext，F(xiàn)alco規(guī)則需要隨攻擊手法更新。

你現(xiàn)在的集群，控制臺還開著默認(rèn)端口嗎？