最近由於微服務的興起,所以Docker容器、kubernetes (K8S) 容器管理平台成為大家常用且關注的對象,也有很多前輩針對這些議題撰寫相關的鐵人賽文章。但常言道"資安即國安",我一直沒辦法找到一個完整系列文章來講解它們的安全議題。也因此 "怕痛的我把 Docker、K8s 攻擊、防禦、偵測力點滿就對了" 就此誕生。除了收集常見容器、K8s攻擊手法及演示之外,為了力求這系列的資安議題是完整的,針對防禦、偵測其餘兩大面向均會在此系列介紹到。就期許各位能夠在這個系列跟我一起燒腦成長,一起體會學習資安的痛苦與快樂(?)吧。
今天開始容器防禦篇的部分,這部分會以一個蓋括的方式來看看容器有哪些元件以及可以防禦的技術,後面再來介紹這些防禦技術的運作方式。那麼就先來看看 docker...
Seccomp 是一個 Linux Kernel 提供的安全機制,用意在於限制一個 Process 可以調用的系統呼叫(system call)。 s...
題目 : 將攻擊手法從理論轉換為實務可用是一個相當重要的階段,畢竟理論再好,實務上打不出來就等於沒有對吧。 請依照這個漏洞原理,透過程式語言(ex:pyt...
題目 : 參考 Kubernetes - How to create a system:masters user and why you REALLY s...
傳統的自由選定存取控制 DAC(discretionary access control)情況下,一旦拿到 root 權限就等同於橫行無阻,所以強制存取控...
作業7 題目 : Apparmor 的阻擋是針對檔案路徑去做進行阻擋的,也就是說動用你的頭腦就可發現繞過的方法,請在開啟強制模式下並且不修改及編譯程式的情...
上次提到了如何針對程式定義 AppArmor 的限制策略,並且透過工具協助進行策略的放行。那今天則是要來看看這些策略到底可以限制哪些資源,以及相關的編寫定...
作業8 題目 : 我們都知道開啟特權容器會關閉 Seccomp、Apparmor 等相關機制,造成無法測試掛載 host pid 的逃逸手法,但假如給予今...
SELinux 是一套複雜的防禦機制,但好不好用就見仁見智。不過這邊先就我自身慘痛的經歷來說明,讓大家感覺一下這套機制有多嚴苛與安全。 先用 Cent...
註 : 因為影片比較長所以拆開來錄 quiz-0 的解題部分。 quiz-1~ quiz-2 解題部分。 quiz-3 解題部分(這題的確蠻通靈的)...