Catégorie : Securite

Threat Protection pour Azure Kubernetes Service (AKS) avec Azure Security Center

Hello,

Il est désormais possible de bénéficier d’un système de détection des menaces pour vos clusters AKS depuis Azure Security Center. Cette nouvelle fonctionnalité est encore en preview au moment où j’écris cet article.

Cette fonctionnalité va vous permettre de renforcer vos postures de sécurité et ainsi détecter des menaces au sein de vos clusters AKS.

Dans l’exemple ci-dessous, nous pouvons voir que nous avons un container qui va s’exécuter avec des privilèges élevés dans le cluster. Ceci peut facilement être utilisé par un utilisateur malveillant afin récupérer un accès root sur le node qui exécute le container.

Alertes au niveau du cluster AKS

AlerteDescription
PRÉVERSION – Liaison de rôle au rôle d’administrateur de cluster détectéL’analyse du journal d’audit Kubernetes a détecté une nouvelle liaison au rôle d’administrateur de cluster aboutissant à des privilèges d’administrateur. Le fait de fournir inutilement des privilèges d’administrateur peut entraîner des problèmes d’escalade de privilèges dans le cluster.
PRÉVERSION – Tableau de bord Kubernetes exposé détectéL’analyse du journal d’audit Kubernetes a détecté une exposition du tableau de bord Kubernetes par un service LoadBalancer. Les tableaux de bord exposés permettent un accès non authentifié à la gestion des clusters et constituent une menace pour la sécurité.
PRÉVERSION – Nouveau rôle avec privilèges élevés détectéL’analyse du journal d’audit Kubernetes a détecté un nouveau rôle avec des privilèges élevés. Une liaison à un rôle avec des privilèges élevés donne à l’utilisateur/au groupe des privilèges élevés dans le cluster. Le fait de fournir inutilement des privilèges élevés peut entraîner des problèmes d’escalade de privilèges dans le cluster.
PRÉVERSION – Nouveau conteneur détecté dans l’espace de noms kube-systemL’analyse du journal d’audit Kubernetes a détecté un nouveau conteneur dans l’espace de noms kube-system qui ne fait pas partie des conteneurs qui s’exécutent normalement dans cet espace de noms. Les espaces de noms kube-system ne doivent pas contenir de ressources utilisateur. Les attaquants peuvent utiliser cet espace de noms pour masquer des composants malveillants.
PRÉVERSION – Conteneur d’extraction de données monétaires numériques détectéL’analyse du journal d’audit Kubernetes a détecté un conteneur qui a une image associée à un outil d’extraction de monnaies numériques.
PRÉVERSION – Conteneur privilégié détectéL’analyse du journal d’audit Kubernetes a détecté un nouveau conteneur privilégié. Un conteneur privilégié a accès aux ressources du nœud et rompt l’isolation entre les conteneurs. En cas de compromission, un attaquant peut utiliser le conteneur privilégié pour accéder au nœud.
PRÉVERSION – Conteneur avec un montage de volume sensible détectéL’analyse du journal d’audit Kubernetes a détecté un nouveau conteneur avec un montage de volume sensible. Le volume détecté est un type hostPath qui monte un fichier ou un dossier sensible depuis le nœud sur le conteneur. Si le conteneur est compromis, l’attaquant peut utiliser ce montage pour accéder au nœud.

Alertes au niveau de l’hôte

AlerteDescription
Conteneur privilégié détectéLes journaux de la machine indiquent qu’un conteneur Docker privilégié est en cours d’exécution. Un conteneur privilégié a un accès complet aux ressources de l’hôte. En cas de compromission, un attaquant peut utiliser le conteneur privilégié pour accéder à l’ordinateur hôte.
Exécution d’une commande privilégiée dans le conteneurLes journaux de la machine indiquent qu’une commande privilégiée a été exécutée dans un conteneur Docker. Une commande privilégiée a des privilèges étendus sur la machine hôte.
Démon Docker exposé détectéLes journaux de la machine indiquent que le démon Docker (dockerd) expose un socket TCP. Par défaut, la configuration Docker n’utilise pas le chiffrement ou l’authentification quand un socket TCP est activé. Toute personne ayant accès au port approprié peut alors obtenir un accès complet au démon Docker.
Le serveur SSH s’exécute à l’intérieur d’un conteneurLes journaux de la machine indiquent qu’un serveur SSH est en cours d’exécution dans un conteneur Docker. Bien que ce comportement puisse être intentionnel, il indique fréquemment qu’un conteneur est mal configuré ou a subi une violation.
Conteneur avec une image d’extracteur détectéLes journaux de la machine indiquent l’exécution d’un conteneur Docker exécutant une image associée à l’extraction de monnaies numériques. Ce comportement peut éventuellement indiquer que vos ressources font l’objet d’un abus.
Demande suspecte à l’API KubernetesLes journaux de la machine indiquent qu’une demande suspecte a été adressée à l’API Kubernetes. La demande a été envoyée à partir d’un nœud Kubernetes, éventuellement à partir de l’un des conteneurs en cours d’exécution dans le nœud. Bien que ce comportement puisse être intentionnel, il peut indiquer que le nœud exécute un conteneur compromis.
Demande suspecte au tableau de bord KubernetesLes journaux de la machine indiquent qu’une demande suspecte a été adressée au tableau de bord Kubernetes. La demande a été envoyée à partir d’un nœud Kubernetes, éventuellement à partir de l’un des conteneurs en cours d’exécution dans le nœud. Bien que ce comportement puisse être intentionnel, il peut indiquer que le nœud exécute un conteneur compromis.

Afin d’activer cette fonctionnalité au sein de Azure Security Center, je vous donne rendez-vous au sein du service. Puis je vous invite à sélectionner « Pricing & settings », ainsi que vous souscription Azure.

Sélectionner le plan « Standard » et cliquer sur « Enabled » pour le type de ressource: « Kubernetes Services (Preview) »

N’hésitez pas à me partager vos retours d’expérience dans les commentaires de cet article.

Maxime.

Azure Private Link – Introduction

Hello,

Dans cet article nous allons explorer ensemble Azure Private Link. Ce service (disponible pour le moment uniquement en public preview) vous permet d’utiliser des services PaaS directement depuis votre VNet via l’utilisation d’un point de terminaison privé.

Comme une image vaut souvent mille mots:

Les principaux avantages de ce service sont:

  • Isolation des services : Connectez votre réseau virtuel à des services s’exécutant dans Azure en privé sans avoir besoin d’une adresse IP publique au niveau de la source ou de la destination.
  • Global Reach : Connectez-vous en privé à des services s’exécutant dans d’autres régions. Cela signifie que le réseau virtuel du consommateur peut se trouver dans la région A et qu’il peut se connecter aux services qui se trouvent derrière Liaison privée dans la région B.
  • Protection contre l’exfiltration de données : Avec le service Liaison privée Azure, le point de terminaison privé du réseau virtuel est mappé à une instance spécifique de la ressource PaaS du client, par opposition à l’ensemble du service. Le point de terminaison privé permet aux clients de se connecter uniquement à la ressource spécifique et non à une autre ressource du service. Ce mécanisme intégré offre une protection contre les risques liés à l’exfiltration des données.

Ci-dessous les services supportés par Azure Private Link:

  • Azure SQL
  • Azure SQL Data Warehouse
  • Azure Storage
  • Azure Data Lake Sorage Gen 2
  • Azure CosmosDB

Dans un prochain article, nous verrons ensemble comment mettre en oeuvre le service Azure Private Link.

Maxime.

Azure Container Registry | Scanner vos images de containers

Hello,

Dans cet article nous voir ensemble comment activer la fonctionnalité de scan de vos image de containers avec l’aide Azure Security Center. Cette fonctionnalité va vous permettre d’identifier les potentielles vulnérabilités pouvant se trouver dans vos images de containers.

Quand une nouvelle image de container sera envoyée dans votre registry: Azure Container Registry, l’image sera analysée depuis Azure Security Center avec l’aide du scanner Qualys.

Au moment où j’écris cet article la fonctionnalité est en « public preview ». Pour activer celle-ci, je vous donne rendez-vous dans le service Azure Security Center puis je vous invite à sélectionner l’onglet « Pricing & Settings ».

Une fois votre souscription sélectionné, je vous invite à sélectionner le plan « Standard » puis à cliquer sur « Enable » pour le type de ressource: « Container Registries (Preview) ».

Je vous invite par la suite à cliquer sur « Save » afin de sauvegarder les changements.





Désormais chaque nous image qui sera envoyée dans notre registry, Azure Container Registry sera analysée.

Ci-dessous un exemple avec une image docker vulnérable:

Pour cela, je vous donner rendez-vous dans le portail Azure Security Center, dans l’onglet « Resource Security Hygiene », je vous invite à cliquer sur « Compute & Apps » puis sur « Containers », enfin sélectionner votre registry dans cet exemple « acrmaxi ».

Maxime.