3. Kubernetes安全基线概述：CIS Benchmark核心要求与K8s攻击面分析

在生产环境中，Kubernetes 集群的安全配置往往是最容易被忽视的薄弱环节。CIS (Center for Internet Security) Kubernetes Benchmark 提供了业界公认的基线配置标准，而理解 K8s 的攻击面则是实施有效监控的前提。本章将建立安全基线的认知框架，并剖析关键攻击路径。

3.1 CIS Kubernetes Benchmark 核心要求

CIS Benchmark 针对不同组件（控制平面、Worker 节点、策略等）定义了数百条检查项。以下表格归纳了与 Prometheus 指标监控强相关的核心领域：

3.2 Kubernetes 攻击面分析：从指标视角看风险

攻击者通常利用配置缺陷、凭证泄露或组件漏洞进行横向移动。以下 SVG 图展示了典型的 K8s 攻击链与关键监控节点：

3.3 关键攻击面与对应指标基线

以下列表梳理了 K8s 环境中最高风险的攻击面，以及如何通过 Prometheus 指标建立安全基线：

• 攻击面：未授权 API 访问
  • 风险描述：匿名用户或未绑定 RBAC 的 ServiceAccount 能够调用敏感 API。
  • 基线指标：apiserver_request_total{code="401"} 应为 0；apiserver_request_total{group="",resource="secrets"} 应仅来自授权用户。
• 攻击面：特权容器与 HostPath 挂载
  • 风险描述：容器以 privileged=true 运行，或挂载宿主机敏感目录（如 /var/log、/etc/kubernetes）。
  • 基线指标：kube_pod_container_info{container_image!=""} 结合 kube_pod_security_context_host_network 或 kube_pod_security_context_privileged 标签，统计特权 Pod 数量。
• 攻击面：etcd 未加密或未认证
  • 风险描述：etcd 暴露在非 TLS 端口，或未启用客户端证书认证。
  • 基线指标：etcd_server_health_failures_total 持续增长；etcd_network_client_traffic_in_bytes 出现异常来源 IP。
• 攻击面：kubelet 只读端口开放
  • 风险描述：kubelet 的 10255 端口（只读）开放，允许未认证获取 Pod 列表、节点状态。
  • 基线指标：up{job="kubelet"} 应仅通过认证端口（10250）采集；kubelet_node_config_error 检查配置合规性。
• 攻击面：网络策略缺失
  • 风险描述：命名空间未配置 NetworkPolicy，允许 Pod 间任意通信。
  • 基线指标：kube_networkpolicy_metadata 覆盖的命名空间比例；container_network_receive_bytes_total{namespace!="kube-system"} 的跨命名空间流量基线。

3.4 从 CIS 到 Prometheus：指标映射框架

将 CIS 检查项转化为可观测指标，需要建立清晰的映射关系。以下 SVG 图展示了从 CIS 控制域到 Prometheus 告警规则的转换流程：

3.5 实战：建立最小安全基线指标集

基于上述分析，以下是一个可直接用于 Prometheus 告警的最小安全基线指标集（部分示例）：

# 1. 检测匿名请求突增
- alert: AnonymousRequestSurge
  expr: rate(apiserver_request_total{code="401"}[5m]) > 0.1
  for: 2m
  labels:
    severity: critical
  annotations:
    summary: "API Server 匿名请求异常增多"

# 2. 检测特权 Pod 运行
- alert: PrivilegedPodRunning
  expr: kube_pod_security_context_privileged == 1
  for: 1m
  labels:
    severity: warning
  annotations:
    summary: "检测到特权模式运行的 Pod"

# 3. 检测 etcd 健康状态
- alert: EtcdHealthFailure
  expr: rate(etcd_server_health_failures_total[5m]) > 0
  for: 1m
  labels:
    severity: critical
  annotations:
    summary: "etcd 健康检查失败"

# 4. 检测 kubelet 配置错误
- alert: KubeletConfigError
  expr: kubelet_node_config_error > 0
  for: 5m
  labels:
    severity: warning
  annotations:
    summary: "kubelet 节点配置存在错误"