Conceptos básicos de seguridad de Kubernetes

Kubernetes es un sistema que ejecuta y administra muchos contenedores en muchas máquinas.

Agrupa los contenedores en pods y los programa automáticamente en los nodos.

Un clúster de Kubernetes suele ejecutar las aplicaciones más importantes de una organización.

Sus numerosos componentes —el plano de control, los nodos y la red— ofrecen a los atacantes una amplia superficie que explorar.

El servidor de API es el cerebro del clúster. Todas las acciones pasan por él.

Nunca debe exponerse a internet pública sin una autenticación sólida, porque los atacantes podrían controlarlo todo.

RBAC significa control de acceso basado en roles. Determina quién puede hacer qué en el clúster.

Conceda a cada usuario y servicio únicamente los permisos que necesiten, siguiendo el principio de privilegios mínimos.

Los pods se comunican con la API mediante una cuenta de servicio.

De forma predeterminada, esta puede tener permisos excesivos. Desactive el token cuando un pod no lo necesite:

Los espacios de nombres dividen un clúster en áreas independientes.

Colocar los equipos o entornos en espacios de nombres diferentes limita el alcance de un incidente y facilita la administración de las reglas de acceso.

De forma predeterminada, todos los pods pueden comunicarse libremente entre sí.

Una política de red restringe ese tráfico, de modo que un pod comprometido no pueda alcanzar todos los recursos. Permita únicamente las conexiones que realmente necesite.

Los secretos de Kubernetes contienen datos confidenciales, como contraseñas y tokens.

Active el cifrado en reposo y nunca incluya secretos directamente en las definiciones de pods o en las imágenes.

Los pods deben aplicar el mismo refuerzo de seguridad que cualquier contenedor:

• Ejecutarse sin root
• Eliminar las capacidades innecesarias
• Evitar el modo privilegiado

Los estándares de seguridad de pods ayudan a imponer estas reglas en todo el clúster.

El servidor de API puede registrar cada solicitud en un registro de auditoría.

Estos registros muestran quién hizo qué y cuándo, algo esencial para detectar e investigar actividades sospechosas.

Kubernetes y sus componentes publican correcciones de seguridad con regularidad.

Ejecutar una versión antigua deja abiertas vulnerabilidades conocidas. Aplique parches al plano de control, los nodos y los complementos según un calendario.

¿Qué controla RBAC en un clúster de Kubernetes?

Proteger Kubernetes implica proteger el servidor de API, aplicar RBAC y el principio de privilegios mínimos, aislar mediante espacios de nombres y políticas de red, administrar los secretos de forma segura, reforzar los pods, activar los registros de auditoría y aplicar parches con frecuencia.