Palestra Principal: Aprenda Hackeando: Como Executar um CTF de Kubernetes de Nó 2,500 - Andrew Martin & Andrés Vega

[0:00] Olá e bem-vindos. À nossa palestra, Aprenda Hackeando. Somos infinitamente gratos por nosso arco ter visto a iluminação cloud native, e estendemos um sincero agradecimento. A vocês, participantes, voluntários, contribuidores e à Cloud Native Computing Foundation envolvida na visão e entrega do Kubernetes. Documentação e correções de bugs não se escrevem sozinhas, e as incríveis contribuições altruístas que impulsionam as comunidades de código aberto nunca foram dadas tão livremente ou recebidas com tanta graça.

[0:36] os controles de segurança geralmente são mais difíceis. de acertar em orquestrações complexas com a funcionalidade pela qual o Kubernetes é conhecido. Desculpe. A essas equipes de segurança especialmente, agradecemos pelo seu trabalho árduo. Os CTFs de segurança fiscal são um reflexo da viagem pioneira do bom navio do Kubernetes. em alto-mar, agitado e perigoso, da Internet. Temos um livro gratuito disponível para download escrito por mim e meu verdadeiro coautor, Sr. Michael Hassenblass. Pode haver dicas e truques úteis para pessoas que buscam atacar a infraestrutura cloud-native. Se você ficou intrigado o suficiente com esta palestra, junte-se a nós na quinta-feira.

[1:21] e jogar nossos novos cenários. Então vamos falar sobre como executamos CTFs na Cloud Native Security Con ao longo dos últimos anos. o que fizemos, o que esperamos alcançar para vocês, os participantes, e como mantivemos nossa frágil sanidade. enquanto provisionávamos milhares de nós sob demanda. por dia. Eu Ao longo dos anos, executamos CTFs presencialmente, virtualmente. O planejamento desses eventos começou nas noites etéreas e enevoadas de 2019.

[1:55] Enquanto buscávamos determinar o que seria necessário para montar um CTF rodando em Kubernetes para Kubernetes. sem que toda a infraestrutura desmoronasse ao nosso redor. Nada é mais aterrorizante do que construir um jogo de segurança auto-hospedado e convidar todos e quaisquer a se divertir com ele. Nossos objetivos são comunicar a melhor forma de proteger infraestrutura cloud native, São cenários de red team com demonstrações completas, desmontagens e remediações.

[2:32] A melhor forma, como Sun Tzu nos disse, de defesa é o ataque. Conheça a ti mesmo. E buscamos retribuir algo à comunidade que compartilhou tão generosamente tanto conosco. aqui está o nefasto #PirateCaptain liderando o ataque com seu epônimo saco de Bitcoin. e o Untitled Goose que despertou tanto entusiasmo pela segurança ao longo dos últimos anos.

[3:04] Esta é uma experiência de aprendizado para todos os níveis de habilidade, começando com um cenário introdutório em cada evento, aumentando em dificuldade, progredindo como um jogo que fica cada vez mais difícil ao longo da jornada para cativar e intrigar todos os níveis de habilidade e ajudar a nutrir e assentar o interesse em e ao redor da segurança. Com infraestrutura dedicada, buscamos emular o máximo possível dos sistemas do mundo real, a algum custo de complexidade. que iríamos nos aprofundar um pouco mais na apresentação. O objetivo não é encontrar o ninja supremo da segurança, mas a maré crescente que levantará todos os barcos, e que os jogadores tenham feedback rápido e suporte para aprimorar sua experiência de aprendizado.

[3:45] Mas primeiro, aqui está uma reconstrução digital do artista de rua Banksy. de como um bando de piratas se pareceria jogando um CTF nativo da nuvem. com um toque de stable diffusion para efeito também. Então não existe software seguro. Tão rápido quanto conseguimos pintar por cima da colorida seleção de vulnerabilidades em nossa infraestrutura, novos recursos são entregues. O software se move rapidamente.

[4:18] - e esses novos recursos potencialmente apresentam caminhos de código não testados. Não tenho certeza. E qualquer um desses caminhos de código não testados com efeitos colaterais de segurança são, por padrão, vulnerabilidades. Priorizamos a entrega de recursos em vez de corrigir vulnerabilidades por nossa conta e risco, é claro. E esta é a realidade do software moderno que equilibramos em nosso dia a dia todos os dias. Semelhança com a fricção que vemos entre equipes vermelhas e equipes azuis Qualquer semelhança na última animação não é coincidência.

[4:57] As organizações não apenas evoluem para obter vantagem competitiva, elas devem fazê-lo para sobreviver porque seus adversários também estão evoluindo. Então, como representamos esse quebra-cabeça complexo em um ambiente de aprendizado seguro? Como autores de cenários, buscamos construir os cenários mais realistas que conseguimos gerenciar. Isso inclui construir diagramas de infraestrutura e cenários de modelagem de ameaças. Isso nos ajuda a desenvolver com o maior grau de realismo e nasce de nossa experiência consultando tanto indústrias reguladas quanto startups.

[5:28] Aqui podemos ver um ataque à cadeia de suprimentos em andamento. O Capitão Hashjack atacou sistemas através de vários sistemas de rede no passado. incluindo repositórios de pacotes, registros de contêineres e o notável protocolo de controle de cápsulas de café hipertexto. sem deixar pedra sobre pedra, Executar a plataforma em infraestrutura real nos dá a oportunidade de emular simulações que vemos na vida real. Ataques a cafeteiras e IoT não são a exceção.

[6:02] E buscamos educar o máximo de pessoas possível da forma mais eficaz que conseguimos, aqui vemos um mapa do tesouro de segurança de pods do livro "Hacking Kubernetes", Esses cenários são intencionalmente cada vez mais complexos e difíceis. Isso ajuda a cristalizar a compreensão dos jogadores sobre um cenário de segurança amplo e complexo e, como em todos os CTFs, Participantes e jogadores devem enumerar o horizonte visível, escalar seus privilégios, voltar atrás a partir de becos sem saída e desvios intencionais.

[6:40] Tchau. Este mapa do tesouro de pods detalha muitas das rotas que um atacante pode explorar dentro de um cluster Kubernetes. Mas com cada cenário, há apenas uma rota intencional para um jogador encontrar, com as notas e ressalvas de que os jogadores encontraram múltiplos desvios, atalhos não intencionais e soluções astutas como rotas nobres para a conclusão. Então, como o CTF é jogado? Com um terminal, endereço IP e credenciais de autenticação opcionais para uma sessão SSH, um cluster Kubernetes ou outra peça misteriosa de infraestrutura.

[7:20] Aqui vemos a primeira visão de um cluster que um jogador tem quando colocado em um contêiner com root habilitado rodando ncluster. Eles devem enumerar o visível, descobrir o invisível e começar a explorar potenciais rotas de comprometimento no cluster. Isso pode incluir sequestro de sessões e credenciais, ataque a APIs e armazenamentos de dados roteáveis a partir do ponto de partida e escalada de privilégios através de todos e quaisquer mecanismos de identidade que um sistema nativo da nuvem possa ter. Minha preferência pessoal é trazer um conjunto portátil de scripts bash para acelerar a enumeração e a exploração.

[7:57] No entanto, não há regras sobre quais ferramentas você pode trazer. Você só precisa encontrar algum lugar para executá-las. Ao longo dos anos, examinamos uma série de vulnerabilidades e configurações incorretas, desde bagunças no sistema de arquivos de imagens de contêiner e runtimes descontrolados até configurações seguras, montagens maliciosas, segredos não isolados, políticas de segurança de pods privilegiadas, contas de serviço sensíveis, rede sem firewall, controle de admissão terrível, etcds expostos, implementações de TLS terríveis, falhas de federação, controle crônico do plano de controle e assim por diante.

[8:34] configurações e exposições ilimitadas de usuários. E há mais, do Ingress ao kernel. Jogamos isso remotamente. Estamos jogando presencialmente desta vez. adaptando-nos à pandemia e executando a partir de eventos virtuais, encontros online, executando a infraestrutura pelo Slack, A paz nunca foi uma opção. Então, como fizemos essa implantação ao vivo de alta pressão de 2500 nós a cada dia em que jogamos? Começamos com a ferramenta de simulação de violação de código aberto criada para ajudar os clientes de planos de controle a proteger suas nuvens, Um cluster de cinco nós é provisionado para cada cenário.

[9:18] E a reutilização de cluster não está habilitada. Adicionamos uma dose dupla de motores de provisionamento supermassivos com suporte do Knative, escalando para zero. Estes não são centralizados em um motor unificado. Isso fica sobre uma fila Pub/Sub e uma máquina de estados reentrante, que tenta garantir que mesmo clusters meio provisionados sejam forçados à vida e revigorados quando meio implantados, o que significa apenas que sistemas distribuídos, como sabemos, são difíceis.

[9:51] Então, as credenciais exclusivas são distribuídas para cada jogador para cada pareamento de cluster de cenário, e os jogos começam. Nossos confiáveis Taskmasters estão à disposição pessoalmente e no Slack, para distribuir dicas, oferecer sugestões e guiar as pessoas pelo caminho dos desafios. Tudo isso se soma. Criamos os clusters conforme necessário e atingimos as alturas elevadas de dois mil e quinhentos nós criados por dia com 80 a 100 participantes.

[10:23] Esperamos bater esse recorde. na quinta-feira, O que deu errado? Você realmente acreditaria em nós se disséssemos nada? Houve aquela. uma vez E o espelho interno da AWS-- Ubuntu caiu. Como você pode imaginar, nada completou o provisionamento. o simulador estava apenas Host, morto na água. As verificações de integridade estão decididamente não saudáveis. para mostrar isso. Problemas típicos de sistemas distribuídos quando o EC2 não provisionava VMs, um painel muito vermelho, um crescente senso de pânico, surgiu disso que exigiu que reprovisionássemos para uma região diferente às pressas.

[11:05] NÃO TENHO CERTEZA. Daquela vez alguém descobriu como contornar o sandboxing inicial do túnel SH, o que também foi interessante. provisionar com segurança e infraestrutura segura é difícil. Não queremos que seja inseguro demais. Quando o Cluster Admin aplicou RBAC às credenciais RBAC, elas desapareceram, foram embora. encontraram seu caminho para um nó bastião quando a suíte de testes cobre apenas os caminhos felizes também. E através de tudo isso, parece que atingimos nosso objetivo. Somos gratos a todos que jogaram o jogo, nos deram feedback e nos deram a oportunidade de iterar nesta plataforma maravilhosa e totalmente agradável que adoramos jogar.

[11:50] Os CTFs muitas vezes podem ser grandes. Não pode parecer assustador? Então esperamos que você se concentre na experiência de aprendizado. Percorra os cenários. e Se você sentir vontade de destruir máquinas, Canalize isso, por favor. E nossos clusters e cenários hoje são, é claro, de código aberto rodando nesta simulação de violação nativa da nuvem. Sob o projeto Kubernetes simulator, há uma versão hospedada e a Control Plane está executando um beta privado se você quiser participar.

[12:28] Como você pode ver, Nada é perfeito, há uma exceção fora dos limites no final do slide, se você quiser abrir alguns shells conosco, por favor venha jogar amanhã. Obrigado.