🛰️
星巡研究院
首页
文章
丛书
社群
登录
注册
领取资料
《渗透视角》分支扩展册 EX-A
封二 本册定位 🔒
免责与合规声明 🔒
术语凡例(全库统一) 🔒
前言 🔒
目录 🔒
0.1 为什么 K8s 安全要从隔离讲起 🔒
0.2 namespace:隔离看得见什么 🔒
0.3 cgroup:限制能用多少 🔒
0.4 容器运行时:谁来点灯与关门 🔒
0.5 隔离的边界:哪里必然漏 🔒
EX-A-01 API Server —— 集群的唯一入口与鉴权中枢 🔒
EX-A-02 etcd —— 集群状态的唯一真相源 🔒
EX-A-03 Controller Manager —— 期望状态与真实状态的调和器 🔒
EX-A-04 Scheduler —— Pod 落位决策器 🔒
EX-A-05 Cloud Controller Manager —— 云平台对接层 🔒
EX-A-06 Pod —— 最小调度单元与共享命名空间 🔒
EX-A-07 Deployment —— 无状态副本与滚动更新 🔒
EX-A-08 StatefulSet —— 有状态身份与稳定存储 🔒
EX-A-09 DaemonSet —— 每节点驻留守护 🔒
EX-A-10 Job/CronJob —— 一次性与定时任务 🔒
EX-A-11 kubelet —— 节点代理与 10250/10255 端口攻击面 🔒
EX-A-12 Service —— 稳定访问入口与负载均衡 🔒
EX-A-13 Ingress —— 七层入口与路由 🔒
EX-A-14 CNI —— 容器网络接口与东西向通信 🔒
EX-A-15 NetworkPolicy —— 网络微分段与隔离 🔒
EX-A-16 CoreDNS —— 集群内服务发现 🔒
EX-A-17 PV/PVC —— 持久卷与存储抽象 🔒
EX-A-18 StorageClass —— 动态供给与参数化 🔒
EX-A-19 CSI —— 容器存储接口与卷驱动 🔒
EX-A-20 ConfigMap —— 配置注入与热更新 🔒
EX-A-21 Secret —— 敏感信息存储与分发 🔒
EX-A-22 ServiceAccount —— Pod 身份与令牌 🔒
EX-A-23 Role/ClusterRole —— 权限声明与作用域 🔒
EX-A-24 kubeconfig —— 集群访问凭证与上下文 🔒
EX-A-25 准入控制体系 —— Admission / Webhook / PSA 🔒
EX-A-26 镜像仓库 —— 镜像分发与拉取信任链 🔒
EX-A-27 Admission Webhook —— 准入控制与动态校验 🔒
EX-A-28 SBOM —— 软件物料清单与成分追踪 🔒
EX-A-29 镜像签名 —— 镜像完整性验证 🔒
EX-A-30 Helm/Operator —— 应用打包与自动化运维 🔒
EX-A-31 Prometheus —— 指标采集与告警 🔒
EX-A-32 Grafana —— 可视化与看板 🔒
EX-A-33 Loki/日志体系 —— 日志采集与查询 🔒
EX-A-34 审计日志与事件 —— 集群操作追溯 🔒
EX-A-35 seccomp —— 系统调用过滤 🔒
EX-A-36 AppArmor/SELinux —— 强制访问控制 🔒
EX-A-37 Falco —— 运行时行为检测 🔒
EX-A-38 gVisor/Kata —— 沙箱运行时隔离 🔒
EX-A-39 Pod Security Standards —— Pod 安全基线 🔒
EX-A-40 Helm —— 包管理与模板化部署 🔒
EX-A-41 Operator/CRD —— 自定义控制器与扩展 🔒
EX-A-42 GitOps —— 声明式持续部署 🔒
EX-A-43 备份恢复 —— etcd 快照与集群迁移 🔒
EX-A-44 集群升级 —— 版本演进与兼容性 🔒
K8S-01 特权容器逃逸 🔒
K8S-02 docker.sock 挂载逃逸 🔒
K8S-03 hostPath 挂载逃逸 🔒
K8S-04 CAP_SYS_ADMIN 提权 🔒
K8S-05 内核漏洞逃逸 🔒
K8S-06 容器运行时漏洞逃逸 🔒
K8S-07 API Server 未授权与弱认证暴露 🔒
K8S-08 etcd 未授权访问 🔒
K8S-09 kubelet 10250 未授权执行 🔒
K8S-10 ServiceAccount Token 泄露与过宽 🔒
K8S-11 RBAC 过宽提权接管 🔒
K8S-12 跨命名空间越权访问 🔒
K8S-13 云元数据 SSRF 🔒
K8S-14 IRSA 角色滥用 🔒
K8S-15 节点横向逃逸到控制面与云 🔒
K8S-16 镜像投毒与标签覆盖 🔒
K8S-17 Helm Chart 投毒 🔒
K8S-18 Operator 投毒与高权借权 🔒
K8S-19 GitOps 仓库失陷 🔒
K8S-20 DaemonSet 后门(每节点常驻) 🔒
K8S-21 CronJob 后门(定时触发持久化) 🔒
K8S-22 Admission Webhook 后门(挂钩回调) 🔒
封底 🔒
丛书
/
第 98 册
K8s 集群安全
免费章节
陈萤萤 著 / 星巡研究院 编 > 分支扩展册,不占主线七册编号。主线七册封板后,本册专攻云原生集群的渗透视角拆解。 ---