Istio. Все кто сталкивался с
Istio знают, что он для своей работы инжектит sidecar контейнер в довесок к основным, работающим в Pod. Этот sidecar контейнер редиректит трафик с Pod на Istio egress gateway c помощью правил iptables, которые как раз таки определяют возможности сетевого взаимодействия Pod. Но это ограничение можно обойти, если есть возможность получить UID 1337 внутри контейнера.И это является довольно критичным моментом, ведь контейнеры внутри
Pod имеют общее пространство имен. Так что если вы получили root в одном контейнере Pod это значит, что у вас есть root и в другом контейнере. Злоумышленнику, которому удалось попасть внутрь Pod, в котором работает Istio sidecar, достаточно выполнить setuid() и установить UID или GID равный 1337, чтобы подобрать правило iptables для Istio и обойти фильтрацию трафика.Резюмируя: использование
Istio для ограничения egress трафика не отменяет использование Network Policy.P.S – на канале, в одном из предыдущих постов, мы уже рассказывали про возможности обхода ограничений безопасности
Istio.P.P.S – хотим напомнить, что сегодня в
11:00 мы проведем вебинар Patch management не поможет, фиксики не спасут, в котором разберем проблемы patch management в реальных условиях.