Vorwort

Diese Arbeit wurde mithilfe von KI übersetzt. Wir freuen uns über dein Feedback und deine Kommentare: translation-feedback@oreilly.com

Willkommen bei Hacking Kubernetes, einem Buch für Kubernetes-Praktiker/innen, die ihre Workloads sicher und geschützt betreiben wollen. Zum Zeitpunkt der Erstellung dieses Buches gibt es Kubernetes bereits seit etwa sechs Jahren. Es gibt mehr als hundert zertifizierte Kubernetes-Angebote, z. B. Distributionen und Managed Services. Da sich immer mehr Unternehmen dazu entschließen, ihre Workloads auf Kubernetes zu verlagern, wollten wir unsere Erfahrungen in diesem Bereich mit dir teilen, damit du deine Workloads sicherer einsetzen und betreiben kannst. Wir danken dir, dass du uns auf dieser Reise begleitest, und hoffen, dass du genauso viel Spaß beim Lesen und Anwenden dieses Buches hast wie wir beim Schreiben.

In diesem Vorwort zeichnen wir ein Bild unserer Zielgruppe, erklären, warum wir das Buch geschrieben haben und wie du es unserer Meinung nach verwenden solltest, indem wir dir eine kurze Inhaltsübersicht geben. Außerdem gehen wir auf einige administrative Details wie Kubernetes-Versionen und Konventionen ein.

Über dich

Um den größten Nutzen aus dem Buch zu ziehen, gehen wir davon aus, dass du entweder eine DevOps-Rolle innehast, eine Kubernetes-Plattform besitzt, ein Cloud Native Architect bist, ein Site Reliability Engineer (SRE) bist oder etwas mit der Rolle eines Chief Information Security Officer (CISO) zu tun hast. Wir gehen außerdem davon aus, dass du daran interessiert bist, praktische Erfahrungen zu sammeln - während wir Bedrohungen und Abwehrmaßnahmen im Prinzip diskutieren, versuchen wir gleichzeitig, sie zu demonstrieren und dir Tools zu zeigen, die dir helfen können.

An dieser Stelle möchten wir auch sicherstellen, dass du verstehst, dass das Buch, das du liest, auf fortgeschrittene Themen ausgerichtet ist. Wir gehen davon aus, dass du bereits mit Kubernetes und insbesondere mit Kubernetes-Sicherheitsthemen vertraut bist, zumindest oberflächlich betrachtet. Mit anderen Worten: Wir gehen nicht so sehr ins Detail, wie die Dinge funktionieren, sondern fassen wichtige Konzepte oder Mechanismen kapitelweise zusammen oder rekapitulieren sie.

Warnung

Wir haben dieses Buch mit Blick auf Blue und Red Teams geschrieben. Es versteht sich von selbst, dass das, was wir hier teilen, ausschließlich für die Verteidigung deines eigenen Kubernetes-Clusters und deiner Workloads verwendet werden sollte.

Wir gehen insbesondere davon aus, dass du weißt, wozu Container dienen und wie sie in Kubernetes laufen. Wenn du mit diesen Themen noch nicht vertraut bist, empfehlen wir dir, dich mit der entsprechenden Lektüre vertraut zu machen. Die folgenden Bücher können wir dir empfehlen:

Nachdem wir nun klargestellt haben, was dieses Buch erreichen soll und wer unserer Meinung nach davon profitieren wird, wollen wir uns nun einem anderen Thema zuwenden: den Autoren.

Über uns

Auf der Grundlage unserer mehr als 10-jährigen praktischen Erfahrung im Entwerfen, Betreiben, Angreifen und Verteidigen von Kubernetes-basierten Workloads und Clustern wollen wir, die Autoren, dich, den Cloud Native Security-Experten, mit dem ausstatten, was du brauchst, um in deinem Job erfolgreich zu sein.

Sicherheit wird oft durch das Licht vergangener Fehler erhellt, und wir beide lernen (und machen Fehler!) schon seit einiger Zeit Kubernetes-Sicherheit. Wir wollten sicher sein, dass das, was wir glaubten, über das Thema zu wissen, stimmt, also haben wir ein Buch geschrieben, um unsere Vermutungen durch eine gemeinsame Brille zu überprüfen.

Wir waren beide in verschiedenen Unternehmen und Funktionen tätig, haben Schulungen abgehalten, Material von Tools bis hin zu Blogbeiträgen veröffentlicht und unsere Erfahrungen zu diesem Thema in verschiedenen öffentlichen Vorträgen weitergegeben. Vieles von dem, was uns hier motiviert, und die Beispiele, die wir verwenden, beruhen auf unseren Erfahrungen in unserem Arbeitsalltag und/oder auf Beobachtungen in den Unternehmen unserer Kunden.

Wie man dieses Buch benutzt

Dieses Buch ist ein bedrohungsbasierter Leitfaden für die Sicherheit von Kubernetes, der eine Vanilla-Kubernetes-Installation mit ihren (eingebauten) Standardeinstellungen als Ausgangspunkt verwendet. Wir beginnen die Diskussionen mit einem abstrakten Bedrohungsmodell eines verteilten Systems, auf dem beliebige Arbeitslasten ausgeführt werden, und gehen dann zu einer detaillierten Bewertung der einzelnen Komponenten eines sicheren Kubernetes-Systems über.

In jedem Kapitel untersuchen wir die Architektur einer Komponente und mögliche Standardeinstellungen und gehen auf bekannte Angriffe und historische CVEs (Common Vulnerabilities and Exposures) ein. Außerdem demonstrieren wir Angriffe und teilen bewährte Methoden zur Konfiguration, um zu zeigen, wie man Cluster vor möglichen Angriffen schützen kann.

Damit du dich im Buch besser zurechtfindest, findest du hier eine kurze Übersicht über die einzelnen Kapitel:

  • In Kapitel 1, "Einführung", stellen wir unseren Hauptgegner vor und erklären, was Threat Modeling ist.

  • Kapitel 2, "Ressourcen auf Pods-Ebene", befasst sich mit Pods, von der Konfiguration über Angriffe bis hin zur Verteidigung.

  • In Kapitel 3, "Container Runtime Isolation", schalten wir einen Gang höher und tauchen tiefer in Sandboxing und Isolationstechniken ein.

  • Kapitel 4, "Anwendungen und Lieferkette", behandelt dann die Angriffe auf die Lieferkette und was du tun kannst, um sie zu erkennen und abzuschwächen.

  • In Kapitel 5, "Netzwerk", gehen wir dann auf die Netzwerk-Standardeinstellungen ein und erklären, wie du deinen Cluster und den Workload-Datenverkehr sichern kannst.

  • In Kapitel 6, "Speicherung", konzentrieren wir uns dann auf Aspekte der Persistenz und betrachten Dateisysteme, Volumes und sensible Daten im Ruhezustand.

  • Kapitel 7, "Harte Mandantenfähigkeit" behandelt das Thema der Ausführung von Workloads für mehrere Mandanten in einem Cluster und was dabei schiefgehen kann.

  • Als Nächstes folgt Kapitel 8, "Richtlinien", in dem wir verschiedene Arten von Richtlinien besprechen, die Zugriffskontrolle - insbesondere die rollenbasierte Zugriffskontrolle (RBAC) - und allgemeine Richtlinienlösungen wie den Open Policy Agent (OPA).

  • In Kapitel 9, "Intrusion Detection", geht es um die Frage, was du tun kannst, wenn es trotz der eingerichteten Kontrollen jemandem gelingt, einzubrechen.

  • Das letzte Kapitel, Kapitel 10, "Organisationen", ist etwas Besonderes, da es sich nicht auf die Werkzeuge, sondern auf die menschliche Seite der Dinge konzentriert, sowohl im Kontext von Cloud- als auch von On-Prem-Installationen.

In Anhang A, "Ein Angriff auf Pod-Ebene", führen wir dich durch eine praktische Erkundung von Angriffen auf Pod-Ebene, wie sie in Kapitel 2 behandelt werden. In Anhang B, "Ressourcen", haben wir für jedes Kapitel weiteres Lesematerial sowie eine Sammlung kommentierter CVEs zusammengestellt, die im Kontext dieses Buches relevant sind.

Du musst die Kapitel nicht in der richtigen Reihenfolge lesen; wir haben uns bemüht, die Kapitel so in sich geschlossen wie möglich zu halten und verweisen auf verwandte Inhalte, wo es sinnvoll ist.

Hinweis

Beachte, dass zum Zeitpunkt der Erstellung dieses Buches Kubernetes 1.21 die letzte stabile Version war. Die meisten hier gezeigten Beispiele funktionieren auch mit früheren Versionen und wir sind uns bewusst, dass die aktuelle Version zum Zeitpunkt der Lektüre dieses Buches möglicherweise deutlich höher sein wird. Die Konzepte bleiben die gleichen.

Nach diesem kurzen Leitfaden und einer kurzen Orientierung wollen wir uns nun die Konventionen im Buch ansehen.

In diesem Buch verwendete Konventionen

In diesem Buch werden die folgenden typografischen Konventionen verwendet:

Kursiv

Weist auf neue Begriffe, URLs, E-Mail-Adressen, Dateinamen und Dateierweiterungen hin.

Constant width

Wird für Programmlistings verwendet. Wird auch innerhalb von Absätzen verwendet, um auf Programmelemente wie Variablen- oder Funktionsnamen, Datenbanken, Datentypen, Umgebungsvariablen, Anweisungen und Schlüsselwörter hinzuweisen.

Tipp

Dieses Element steht für einen Tipp oder eine Anregung.

Hinweis

Dieses Element steht für einen allgemeinen Hinweis.

Warnung

Dieses Element weist auf eine Warnung oder einen Warnhinweis hin.

Code-Beispiele verwenden

Ergänzendes Material findest du unter http://hacking-kubernetes.info.

Wenn du eine technische Frage oder ein Problem mit den Codebeispielen hast, schreibe bitte eine E-Mail an

Dieses Buch soll dir helfen, deine Arbeit zu erledigen. Wenn in diesem Buch Beispielcode angeboten wird, darfst du ihn in deinen Programmen und deiner Dokumentation verwenden. Du musst uns nicht um Erlaubnis fragen, es sei denn, du reproduzierst einen großen Teil des Codes. Wenn du zum Beispiel ein Programm schreibst, das mehrere Teile des Codes aus diesem Buch verwendet, brauchst du keine Erlaubnis. Der Verkauf oder die Verbreitung von Beispielen aus O'Reilly-Büchern erfordert jedoch eine Genehmigung. Die Beantwortung einer Frage mit einem Zitat aus diesem Buch und einem Beispielcode erfordert keine Genehmigung. Wenn du einen großen Teil des Beispielcodes aus diesem Buch in die Dokumentation deines Produkts aufnimmst, ist eineGenehmigung erforderlich.

Wir freuen uns, verlangen aber in der Regel keine Namensnennung. Eine Quellenangabe umfasst normalerweise den Titel, den Autor, den Verlag und die ISBN. Zum Beispiel: "Hacking Kubernetes von Andrew Martin und Michael Hausenblas (O'Reilly). Copyright 2022 Andrew Martin und Michael Hausenblas, 978-1-492-08173-9."

Wenn du der Meinung bist, dass die Verwendung von Code-Beispielen nicht unter die Fair-Use-Regelung oder die oben genannte Erlaubnis fällt, kannst du uns gerne unter kontaktieren

O'Reilly Online Learning

Hinweis

Seit mehr als 40 Jahren bietet O'Reilly Media Schulungen, Wissen und Einblicke in Technologie und Wirtschaft, um Unternehmen zum Erfolg zu verhelfen.

Unser einzigartiges Netzwerk von Experten und Innovatoren teilt sein Wissen und seine Erfahrung durch Bücher, Artikel und unsere Online-Lernplattform. Die Online-Lernplattform von O'Reilly bietet On-Demand-Zugang zu Live-Trainingskursen, ausführlichen Lernpfaden, interaktiven Programmierumgebungen und einer umfangreichen Text- und Videosammlung von O'Reilly und über 200 anderen Verlagen. Weitere Informationen erhältst du unter http://oreilly.com.

Wie du uns kontaktierst

Bitte richte Kommentare und Fragen zu diesem Buch an den Verlag:

  • O'Reilly Media, Inc.
  • 1005 Gravenstein Highway Nord
  • Sebastopol, CA 95472
  • 800-998-9938 (in den Vereinigten Staaten oder Kanada)
  • 707-829-0515 (international oder lokal)
  • 707-829-0104 (Fax)

Wir haben eine Webseite für dieses Buch, auf der wir Errata, Beispiele und zusätzliche Informationen auflisten. Du kannst diese Seite unter https://oreil.ly/HackingKubernetes aufrufen .

Schreib eine E-Mail an , um Kommentare oder technische Fragen zu diesem Buch zu stellen.

Neuigkeiten und Informationen über unsere Bücher und Kurse findest du unter http://oreilly.com.

Finde uns auf Facebook: http://facebook.com/oreilly

Folge uns auf Twitter: http://twitter.com/oreillymedia

Schau uns auf YouTube: http://youtube.com/oreillymedia

Danksagungen

Unser Dank geht an unsere Prüfer Roland Huss, Liz Rice, Katie Gamanji, Ihor Dvoretskyi, Mark Manning und Michael Gasch. Eure Kommentare haben uns sehr geholfen und wir wissen eure Ratschläge und Vorschläge zu schätzen.

Andy möchte seiner Familie und seinen Freunden für ihre unermüdliche Liebe und Ermutigung danken, dem inspirierenden und messerscharfen Team von ControlPlane für ihre unermüdliche Einsicht und Führung und der ständig erhellenden Cloud Native Security Community für ihre unermüdliche Freundlichkeit und Brillanz. Ein besonderer Dank geht an Rowan Baker, Kevin Ward, Lewis Denham-Parry, Nick Simpson, Jack Kelly und James Cleverley-Prance.

Michael möchte seiner großartigen und unterstützenden Familie seinen tiefsten Dank aussprechen: unseren Kindern Saphira, Ranya und Iannis, meiner verdammt klugen und lustigen Frau Anneliese und unserem besten aller Hunde, Snoopy.

Wir wären nachlässig, wenn wir nicht die Hacking Kubernetes Twitter-Liste unsererInspirationen und Mentoren erwähnen würden, in der Koryphäen wie@antitree, @bradgeesaman, @brau_ner, @christianposta, @dinodaizovi, @erchiang, @garethr, @IanColdwater, @IanMLewis, @jessfraz, @jonpulsifer alphabetisch aufgelistet sind, @jpetazzo, @justincormack, @kelseyhightower, @krisnova, @kubernetesonarm, @liggitt, @lizrice, @lordcyphar, @lorenc_dan, @lumjjb, @mauilion, @MayaKaczorowski, @mikedanese, @monadic, @raesene, @swagitda_, @tabbysable, @tallclair, @torresariass, @WhyHiAnnabelle, and @captainHλ$ħ𝔍A¢k.

Zu guter Letzt danken die beiden Autoren dem O'Reilly-Team, insbesondere Angela Rufino, dafür, dass sie uns bei der Erstellung dieses Buches begleitet haben.

Get Kubernetes hacken now with the O’Reilly learning platform.

O’Reilly members experience books, live events, courses curated by job role, and more from O’Reilly and nearly 200 top publishers.

Start your free trial