Kubernetes the (Very) Hard Way

Всем привет!

«Kubernetes – это всего 5 бинарей» - такую фразу можно часто услышать.

Её достаточно трудно оспорить, однако всё ли так просто на самом деле?

В своё время появился такой проект как «Kubernetes The Hard Way», который показывал, что это так, да не совсем.

Суть его состояла в том, что вас «лишают» всех удобств, средств автоматизации и всё устанавливается и настраивается «руками».

Впоследствии он был дополнен и реализован на русском языке Дмитрием Путилиным (ознакомиться можно тут).

Но что, если и этого недостаточно и хочется «еще больше жести»?

С этим может помочь курс «Kubernetes the (Very) Hard Way».

В нём придется «развернуть» кластер Kubernetes «с нуля» без использования средств автоматизации.

Курс состоит из модулей:
🍭 Introduction
🍭 Worker Node
🍭 Control Plane
🍭 Cluster

Каждый модуль внутри делится на более точные и конечные задачи.

И, что самое классное! Пока что курс бесплатный ☺️

Такой подход позволяет гораздо лучше понять, что такое Kubernetes, из чего он состоит и что именно делает тот или иной его компонент.

P.S. Курс еще «не завершен», следить за публикациями новых материалов можно непосредственно на сайте.

Агент был скомпрометирован Агентом для установки Агента

Всем привет!

Нет, вам не показалось – всё так. Эта история недавно случилась с Cline (AI-ассистентом с открытым исходным кодом).

Произошло примерно следующее Агент (Cline) был скомпрометирован Агентом (Claude Issue Reviewer) для установки Агента (OpenClaw).

Такое получилось реализовать из-за уязвимости, о которой исследователь по безопасности сообщил Cline, но!

PoC на эту уязвимость оказался в открытом доступе ДО того, как она была устранена.

Упрощенно порядок действий был таким:
🍭 Создание Issue с определённым заголовком
🍭 Этот заголовок позволил реализовать prompt injection для установки вредоносного кода
🍭 Утечка секретов (NPM_TOKEN, VSCE_PAT, OVSX_PAT) были «переданы» злоумышленнику
🍭 Публикация «обновлённого» пакета злоумышленником – [email protected]
🍭 Установка пакета приводила к npm install -g openclaw@latest

Из хорошего – это трудно назвать «атакой», но в качестве примера «что может пойти не так» - очень наглядно.

В самой статье все описано в разы детальнее. Ссылки на commits, комментарии, пояснения происходящего и дополнительная информация.

То, что надо для пятницы! Рекомендуем!

CredData: набор данных с секретами

Всем привет!

Если вы хотели найти набор данных (data set) для тестирования инструментов по поиску секретов или для обучения модели, то CredData – Credentials Data – от Samsung может вам подойти!

Набор данных состоит из 19,459,282 строк кода, которые были «извлечены» из 11,408 файлов, находящихся в 297 репозиториях.

Данные также разделены по языкам: Golang, YAML, Python, Markdown, PHP и т.д.

Для некоторой части данных реализована разметка.

С использованием этого набора команда Samsung, в том числе, сделала сравнительный анализ таких open-source решений, как: detect-secrets, gitleaks, truffleHog и не только.

Кстати, в сравнении участвовал и собственная разработка Samsung – CredSweeper, с которым можно ознакомиться тут.

Результаты сравнения, больше информации о CredData можно найти в GitHub-репозитории проекта.

sbom-tools: TUI для работы со SBoM

Всем привет!

sbom-tools – open-source проект для анализа SBoM, представляющий из себя «графическую оболочку» для терминала.

Из ключевых возможностей можно отметить:
🍭 Определение изменений (добавлено, удалено, изменено): зависимости, лицензии и уязвимости
🍭 Поддержка CycloneDX (1.4 – 1.6), SPDX (2.2 – 2.3)
🍭 Обогащение данными об уязвимостях за счёт интеграции с OSV и KEV
🍭 Анализ качества – оценка SBoM на соответствие требованиям стандартов (NTIA, FDA, CRA и не только)
🍭 Предоставление «отчётности» в разных форматах: JSON, SARIF, MD, CSV и не только

Больше информации про sbom-tools (включая множество скриншотов) можно найти в GitHub-репозитории или в документации.

А если хочется «видео-сопровождения», то можно посмотреть вот это видео, в котором Автор утилиты (Alex Matrosov) рассказывает про нее и показывает возможности.

Agentic AI Threat Landscape

Всем привет!

В статье (~ 25 минут на прочтение) можно найти информацию о способах атак и защиты на агентские AI.

Начинается всё с погружения в контекст – как именно работают AI агенты, и какие могут быть фундаментальные проблемы ИБ с ними связанные.

Далее материал структурирован по разделам:
🍭 Indirect Prompt Injection
🍭 Tool Poisoning
🍭 Memory Poisoning
🍭 Data Exfiltration, Code Execution и 🍭 Expanding Attack Toolkit
🍭 Persistence, Backdoors и не только

Для каждого раздела приводится краткое описание проблематики с диаграммами и примерами, иллюстрирующими технику атаки.

В завершении описаны (очень кратко) описаны способы защиты.

Итого – неплохой обзорный материал для лучшего погружения в тему. Рекомендуем!

Защита Kubernetes с Kyverno и KubeArmor

Всем привет!

В статье Автор рассматривает способы обеспечения безопасности кластера Kubernetes в двух «временных точках».

Первая – контроль того, что запускается. Для этого он предлагает использовать Kyverno. Задача – сократить вероятность того, что будет создано «нечто», что противоречит требованиям ИБ.

Однако, мир не идеален. На все случаи жизни политики не напишешь. Поэтому важна и вторая «временная точка» – защита того, что уже запущено. Для этого Автор предлагает использовать KubeArmor.

Да, это далеко не все «точки», но отлично демонстрирует важность использования разных подходов в разные моменты времени для повышения общего уровня ИБ и минимизации вероятности того, что что-то «пойдет не так».

Далее Автор рассказывает о том, как установить решения и настроить первичные (базовые) политики, чтобы лучше разобраться в том, как это работает.

В завершении – набор общих советов о том, на что стоит обращать внимание для защиты кластера.

Статья вряд ли заинтересует «бывалых», но может быть полезна для тех, кто только начинает разбираться в безопасности Kubernetes.

sk8r: Kubernetes Dashboard Clone!

Всем привет!

Небольшой пятничный пост. Да! sk8r – еще один open-source дашборд для работы с кластерами Kubernetes.

Он может:
🍭 Создавать, просматривать, изменять Kubernetes-ресурсы
🍭 Отображать логи pod’ов в режиме реального времени
🍭 Отображать информацию о метриках за счет интеграции с Prometheus
🍭 Получать доступ к терминалу pod’a

Да, ничего сверхъестественного.

С другой стороны – всё очень лаконично и просто, ничего лишнего для получения «первичной информации» о том, что происходит в кластере.

А каким инструментом пользуетесь вы?

Container Exploration Kit

Всем привет!

Бывают случаи, когда нужно «посмотреть» что-то внутри контейнера и при этом не хочется (или не представляется возможным) его запускать, делать exec и просматривать содержимое.

Одним из возможных решений может оказаться Dive. Из нюансов – он хорош для получения информации о содержании и структуре, анализа слове и изменений, но… он все равно запускает контейнер.

Если надо нечто более простое и с меньшим функционалом, то cek – Container Exploration Kit – может вам пригодиться.

Он позволяет анализировать содержимое контейнеров без непосредственного их запуска.

Из возможностей можно отметить:
🍭 Просмотр файлов в образе, директории, по определенным шаблонам, слоям
🍭 Чтение содержимого файлов
🍭 Получать перечень доступных tags для контейнера
🍭 Экспортировать образы контейнеров в *.tar-архивы
🍭 Отображать дерево директорий внутри контейнера

И все это в небольшом исполняемом файле. Очень удобно, если надо быстро что-то получить из образа.

Больше подробностей можно прочесть в GitHub-репозитории проекта.

Использование AI агентов для исследования CVE

Всем привет!

В статье от Praetorian описан концепт, в котором AI агенты используются для автоматизации процесса исследования уязвимостей (CVE).

За основу взят Google’s Agent Development Kit (ADK), который «координирует» весь процесс, состоящий из 4-х шагов.

Шаги представляют из себя:
🍭 Deep Research. Получение максимального количества информации о CVE
🍭 Technology Reconnaissance. Определение технологий, которые могут быть «подвержены» CVE
🍭 Actor-critic Template Generation. Формирование Nuclei Template на базе собранной информации
🍭 Exploitation Analysis. Анализ векторов атак, возможных техник, ущерба и т.д.

На выходе, в идеале, получается Nuclei Template, который можно использовать для проверки того, подвержен ли сервис X уязвимости Y.

Для каждого этапа вышеописанного процесса используются различные модели.

Т.е., в зависимости от решаемой задачи, выбирается «оптимальный инструмент».

Больше подробностей, включая краткое описание того, как это используется, можно найти в статье.

Multi-Cluster Scaling: опыт Kedify

Всем привет!

Зачастую, кластер Kubernetes существует в единственном числе недолгое время. Рано или поздно кластеров становится несколько.

Например, из-за технических (сокращение задержки), организационных (отдельный кластер под определённую команду) или регуляторных (сокращение «области действия» требований) причин.

И тут начинается самое весёлое: всё, что было сделано для того «первого» кластера надо отмасштабировать на остальные. И не только отмасштабировать, но и централизованно управлять всем этим, что приводит к «двойной работе».

В статье от Kedify описан подход, который использовала команда, чтобы решить эту задачу. Если кратко, то всё просто: создание единого «мозга», который всем управляет. Но дьявол в деталях!

Ребята используют один KEDA-кластер, который анализирует метрики и взаимодействует с Member-кластерами через kube-apiserver.

Member-кластеры, в свою очередь, создают необходимые нагрузки и всё это с минимально-необходимыми правами.

Для того, чтобы KEDA-кластер мог управлять Member-кластерами команда сделала свой CRD - DistributedScaledObject.

Он определяет, на каких Member-кластерах можно создавать ресурсы, что делать в случае их недоступности, как собирать информацию о «здоровье» и т.д.

В итоге получается конструкция, которая позволяет управлять несколькими кластерами Kubernetes «на масштабе» и может работать в случае недоступности некоторых Member-кластеров.

Больше информации, как обычно, можно найти в статье.

Docker Time Machine

Пятница! Самое время для совершения путешествий во времени! И Docker Time Machine (DTM) может в этом помочь.

Эта утилита автоматизирует процесс анализа различных версий (тэгов) одного и того же образа контейнера.

Может работать как с реестром (скачивается только meta-информация об образе), так и с git-репозиторием (для каждого commit создается образ и осуществляется сравнение).

DTM позволяет:
🍭 Осуществлять «послойный» анализ образов
🍭 Идентифицировать изменения в размере образов
🍭 Найти самый «толстый» образ из доступных
🍭 Найти самый «худой» образ из доступных

Результаты работы утилиты «упаковываются» в JSON, CSV, MD или в лаконичный HTML, наглядно отображающий то, как менялся образ.

Подробности о возможностях Docker Time Machine, об использовании и примеры результатов можно найти в GitHub-репозитории проекта.