Runtime Detection of Attacks and Misconfigurations in Cloud-Native Kubernetes Environments Using eBPF Network Telemetry
Dit artikel demonstreert dat Hubble/eBPF netwerktelemetrie, wanneer gecombineerd met zorgvuldig geconstrueerde ground-truth labels, effectief runtime-aanvallen en misconfiguraties in Kubernetes-omgevingen kan detecteren, waarbij wordt onthuld dat identiteitsattributen aan de bestemmingszijde de sterkste indicatoren van dreigingen zijn, ondanks een afweging tussen de hoge precisie van regelgebaseerde detectoren en de hogere recall van Random Forest-classificators.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je een Kubernetes-cluster voor als een enorm, bruisend kantoorgebouw waar duizenden kleine, tijdelijke werknemers (genaamd containers) wonen en werken. Deze werknemers zijn georganiseerd in verschillende afdelingen (genaamd namespaces). In een veilig gebouw zijn er strikte regels: de boekhoudkundige kan niet zomaar de serverruimte inwandelen, en de stagiairs kunnen geen toegang krijgen tot het kantoor van de CEO.
Echter, soms maken de gebouwbeheerders fouten. Ze laten bijvoorbeeld deuren onvergrendeld, geven iedereen de loper van de hoofdsleutel, of laten werknemers "superpak"-pantser dragen waarmee ze muren kunnen doorbreken. Deze fouten zijn misconfiguraties.
Dit artikel gaat over het bouwen van een superkrachtig beveiligingscamerasysteem om kwaadwillende actoren te betrappen op het moment dat ze proberen deze fouten uit te buiten, zonder dat dit het draaien van het gebouw vertraagt.
Het Probleem: Onzichtbare Deuren en Hoofdsleutels
De onderzoekers begonnen door bewust drie specifieke fouten te maken in hun test-kantoorgebouw:
- Geen Beveiligingsbeambten (Ontbrekende Network Policies): Ze verwijderden de regels die voorkomen dat werknemers tussen afdelingen door wandelen. Nu kon iedereen overal naartoe.
- Te Veel Hoofdsleutels (Excessieve RBAC): Ze gaven een werknemer op laag niveau een sleutel die elke deur in het gebouw kon openen, inclusief de geheime kluis.
- Superpakken (Privileged Containers): Ze lieten een werknemer een pak dragen waarmee hij alles kon zien en aanraken, zelfs de fundering en de elektrische bedrading van het gebouw.
Zodra deze fouten waren gemaakt, stuurden ze een "red team" (een groep ethische hackers) naar binnen om in te breken, gegevens te stelen of van de ene naar de andere afdeling te springen.
De Oplossing: De "eBPF" Supercamera
Om deze indringers te betrappen, gebruikten de onderzoekers geen standaard beveiligingscamera. Ze gebruikten iets dat eBPF (extended Berkeley Packet Filter) wordt genoemd, wat zij beschrijven als een supergeavanceerde, hogesnelheidssensor die direct in de leidingen en bedrading van het gebouw is ingebed.
Deze sensor, gekoppeld aan een tool genaamd Hubble, maakt niet alleen foto's; het registreert elke enkele druppel water (data) die door de leidingen stroomt. Het weet precies:
- Wie de druppel heeft verzonden (Source Pod).
- Wie de druppel heeft ontvangen (Destination Pod).
- Door welke leiding de druppel ging (Namespace).
- Wat voor soort druppel het was (Port/Protocol).
De onderzoekers verzamelden meer dan 3,8 miljoen van deze "flow records" (druppels data).
De Grote Uitdaging: Het Sorteren van de Ruis
Hier komt het lastige deel: de camera registreerde alles. Meestal was het gebouw gewoon normaal aan het werk (benigne verkeer). De werkelijke aanvallen waren als het zoeken naar een paar spelden in een hooiberg van 3 miljoen stuks hooi.
Bovendien had de camera een vreemde eigenschap. Soms zag de camera de waterdruppel terwijl deze de kraan verliet (TO_STACK), soms wanneer deze de leiding raakte (TO_ENDPOINT), en soms terwijl deze door de hoofdleiding reisde (TO_OVERLAY).
- Het Probleen: Wanneer de camera de druppel in de "kraan"-fase zag, kon hij vaak niet zien waar deze naartoe ging. Het was alsof je een brief uit een brievenbus ziet komen, maar niet weet welk adres op de envelop staat.
- De Oplossing: De onderzoekers moesten een rigoureus vierstaps schoonmaakproces doorlopen om de wazige, onvolledige records weg te gooien en alleen de records over te houden waarbij ze de bestemming duidelijk konden zien. Dit veranderde hun 3,8 miljoen rommelige records in een schone dataset van 3,18 miljoen records, met slechts 456 bevestigde "aanval"-records.
De Detectives: Regels versus AI
De onderzoekers testten twee verschillende manieren om de boeven op te sporen in deze schone data:
De Regelgebaseerde Detective: Deze detective volgt een strikte checklist. "Als een werknemer van de 'Aanvaller'-afdeling probeert te praten met de 'Database'-afdeling op poort 5432, sla dan alarm!"
- Resultaat: Deze detective was zeer precies. Wanneer hij alarm sloeg, zat hij er meestal naast. Echter, hij miste sommige sluwe aanvallen die niet precies in zijn checklist pasten.
De Random Forest (AI) Detective: Deze detective is als een student die duizenden voorbeelden van normaal en slecht gedrag heeft bestudeerd. Hij kijkt naar het grotere plaatje en raadt: "Dit lijkt voor 80% op een aanval."
- Resultaat: Deze detective ving meer van de boeven (hogere recall), maar hij liet ook een paar keer het alarm afgaan wanneer een normale werknemer simpelweg iets ongebruikelijks deed.
De Grote Ontdekking: Met Wie Je Praat, Is Het Belangrijkst
De meest verrassende bevinding was over met wie de boeven probeerden te praten.
De onderzoekers ontdekten dat de belangrijkste aanwijzingen niet gingen over wie de boodschap stuurde, maar over wie deze ontving.
- De Metafoor: Het maakt niet uit of een normaal uitziend persoon (Bron) een brief verstuurt. Wat ertoe doet, is dat hij probeert een brief af te leveren bij de Bankkluis (Bestemming).
- De Ratio: De aanwijzingen over de "Bestemming" waren 2,8 keer belangrijker dan de aanwijzingen over de "Bron". Als een werknemer probeert te communiceren met de database of de API-server, dan is dat een enorme rode vlag, ongeacht wie zij zijn.
De Conclusie
Het papier concludeert dat het gebruik van deze hogesnelheidssensoren (eBPF/Hubble) uitstekend werkt om aanvallen in realtime te vangen, maar alleen als je heel voorzichtig bent met hoe je de data labelt.
Als je de wazige records (waarbij de bestemming onbekend is) niet filtert, kun je het verschil niet zien tussen een normale werknemer en een hacker. Maar als je de schoonmaak correct uitvoert, kun je een systeem bouwen dat indringers opspoort op het moment dat ze proberen tussen afdelingen te springen of de kluis te betreden.
Kortom: Je kunt de boeven vangen in een kantoorgebouw in de cloud, maar je hebt een supercamera nodig die precies weet waar het water naartoe gaat, en je moet je beveiligingsbewakers leren dat waar de boodschap naartoe gaat belangrijker is dan wie hem verstuurt.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.