Container и Kubernetes Security

О курсе

Docker и Kubernetes — золотая жила для хакера и головная боль для защитника! Побег из контейнера, RBAC-мисконфиги, supply chain атаки — 15 уроков, после которых ты будешь и ломать, и защищать кластеры как профи.

Чему ты научишься

• ✓оценивать поверхность атаки Docker и Kubernetes
• ✓проводить побег из контейнера и понимать механизмы предотвращения
• ✓настраивать RBAC, Network Policies и Pod Security Standards
• ✓сканировать образы на уязвимости и настраивать Admission Controllers
• ✓внедрять runtime-защиту с Falco и мониторинг кластера
• ✓обеспечивать Supply Chain Security и подпись образов
• ✓реагировать на инциденты в контейнерной среде

Что нужно знать

• •опыт работы с Docker (создание образов, запуск контейнеров)
• •базовое понимание Kubernetes (pods, services, deployments)
• •знание Linux на уровне администрирования
• •доступ к локальному кластеру (minikube/kind) или облачному K8s

Программа

1. M1

   Docker Security

   5 карт

   Контейнеры не равно изоляция — разбираем архитектуру Docker с точки зрения атакующего, учимся сбегать из контейнеров и строить непробиваемые образы

   • 1.
     Архитектура Docker и поверхность атакиРазбираем внутренности Docker — от daemon до container runtime — и определяем каждый вектор атаки на контейнерную инфраструктуру.
   • 2.
     Безопасность образов и сканирование уязвимостейСканируем Docker-образы на уязвимости с Trivy и Grype, анализируем слои образа и выстраиваем pipeline безопасной сборки.
   • 3.
     Побег из контейнера: техники и предотвращениеПрактикуем реальные техники container escape — от privileged mode до kernel exploits — и учимся их блокировать.
   • 4.
     Настройка seccomp, AppArmor и capabilitiesСоздаём кастомные seccomp-профили, AppArmor-политики и управляем Linux capabilities для гранулярного контроля контейнеров.
   • 5.
     Безопасный Dockerfile и best practicesСтроим production-ready Dockerfile с multi-stage builds, non-root user, минимальным базовым образом и проверкой на misconfigurations.
2. M2

   Kubernetes Security

   5 карт

   Кластер под контролем — RBAC, Network Policies, Secrets и полный аудит конфигурации. Находим мисконфиги, которые открывают двери атакующим

   • 1.
     Архитектура Kubernetes и модель угрозРазбираем компоненты Kubernetes-кластера и строим threat model для каждого уровня — от etcd до kubelet.
   • 2.
     RBAC и управление доступом в кластереНастраиваем Role-Based Access Control в Kubernetes — от создания ролей до аудита разрешений и обнаружения избыточных привилегий.
   • 3.
     Network Policies и сегментацияВнедряем zero-trust сетевую модель в Kubernetes через Network Policies — ограничиваем трафик между pods, namespaces и внешними сетями.
   • 4.
     Secrets management и шифрование данныхРазбираем проблемы Kubernetes Secrets, внедряем шифрование etcd at rest и интеграцию с HashiCorp Vault и Sealed Secrets.
   • 5.
     Аудит конфигурации с kube-bench и kubeauditЗапускаем автоматический аудит Kubernetes-кластера по CIS Benchmark с kube-bench и находим misconfigurations с kubeaudit.
3. M3

   Hardening и мониторинг

   5 карт

   От защиты до реагирования — Pod Security Standards, Falco для runtime-детекции, supply chain security и полный playbook реагирования на инциденты в K8s

   • 1.
     Pod Security Standards и Admission ControllersВнедряем Pod Security Standards для enforcement безопасных конфигураций и создаём кастомные Admission Controllers с OPA Gatekeeper.
   • 2.
     Runtime-защита с Falco и SysdigВнедряем Falco для обнаружения аномального поведения контейнеров в реальном времени — от shell spawn до чтения sensitive-файлов.
   • 3.
     Мониторинг и логирование в кластереСтроим security-observability стек — собираем Kubernetes audit logs, метрики безопасности и визуализируем в Grafana.
   • 4.
     Supply Chain Security и подпись образовЗащищаем цепочку поставки контейнерных образов — от SBOM и подписи с Cosign до верификации в Kubernetes с Kyverno.
   • 5.
     Реагирование на инциденты в контейнерной средеРазрабатываем playbook реагирования на инциденты в Kubernetes — от обнаружения и изоляции до forensics и восстановления.