OWASP Kubernetes Top 10 (2025)، عملي

لعبة التقط العلم مبنية على OWASP Kubernetes Top 10 — 2025. لقد تم تعيينك كفريق اختراق أخلاقي لـ NimbusMart، وهي شركة تجارة إلكترونية خيالية نما كتلة (cluster) الخاصة بها أسرع من أمانها. عشرة تحديات، واحد لكل خطر من OWASP (بالإضافة إلى تحدٍ إضافي) — استغل كل نقطة ضعف، التقط العلم، ثم طبق الإصلاح وأثبت صحته باستخدام المدقق.

الكتاب المقدس (الشركة، الخدمات، مساحات الأسماء، مخطط الأعلام) موجود في labs/NIMBUSMART.md.

كل شيء يعمل محليًا على kind. لا تقم أبدًا بتشغيل الملفات الضعيفة ضد كتلة حقيقية.

بُني بواسطة @hac01.

ما يغطيه هذا

هذه ليست مجموعة شرائح — إنها كتلة Kubernetes عاملة وضعيفة التصميم بالإضافة إلى الأدوات اللازمة لمهاجمتها وإصلاحها والتحقق من الإصلاح. عبر التحديات الإحدى عشر، ستتعامل عمليًا مع:

أمان الحاويات والعقد — الحاويات المميزة (privileged pods)، ووصلات hostPath، والاختراق العقدي (K01).
RBAC والتفويض — أدوار ClusterRole ذات العلامات البدل (wildcard)، وحسابات الخدمة ذات النطاق الواسع (over-scoped ServiceAccounts)، وكيف يمكن لرمز مسروق واحد الوصول إلى جميع الأسرار (K02, K09).
إدارة الأسرار — مفاتيح API مكتوبة بشكل ثابت في متغيرات البيئة/ConfigMaps والبدائل الأكثر أمانًا (K03).
التحكم في القبول (Admission control) والسياسات — ما الذي يتسرب عندما لا يوجد ما يفرض القواعد على مستوى الكتلة، وكيف يوقفه أمان قبول الحاوية (Pod Security Admission)/محركات السياسات (K04).
تقسيم الشبكة — شبكات الحاويات المسطحة مقابل الإغلاق باستخدام NetworkPolicy (K05).
المكونات المكشوفة — لوحات التحكم الداخلية وواجهات API المنشورة عبر NodePort (K06).
نظافة مكونات الكتلة — الرموز الافتراضية، والحصص الناقصة، والإصدارات القديمة/الضعيفة (K07).
الحركة الجانبية من الكتلة إلى السحابة — حاوية تصل إلى نقطة نهاية البيانات الوصفية (IMDS) للعقدة لسرقة بيانات اعتماد سحابية (K08).
المصادقة — الوصول المجهول (anonymous) إلى API والرموز الافتراضية المثبتة بشكل زائد (K09).
التسجيل والمراقبة — اكتشاف (أو الفشل في اكتشاف) تسريب البيانات الصامت، ولماذا تعتبر سلسلة التدقيق مهمة (K10).
سلسلة التوريد — صور :latest غير موثوقة وقابلة للتغيير يتم شحنها إلى الإنتاج (تحدٍ إضافي).

لكل تحدٍ تحصل على:

إحاطة مهمة — سيناريو NimbusMart، ونقطة انطلاقك، والهدف.
علم يجب التقاطه — لا يمكن الوصول إليه إلا عن طريق تنفيذ الاستغلال (على العقدة، في مساحة اسم أخرى، عبر الشبكة). أرسله في تطبيق الويب؛ لوحة النتائج تتابع تقدمك ونقاطك (التخزين المحلي للمتصفح).
تلميحات تدريجية بالإضافة إلى شرح كامل — إشارات أولاً، ثم الحل الكامل عندما تريده.
نظرة عامة معمقة — ما هي نقطة الضعف، وكيف يسيء المهاجمون استخدامها، والتأثير، والأسباب الجذرية.
دليل دفاعي — تصحيحات ملموسة وقائمة ممارسات جيدة.
مدقق آلي — برنامج Go يقوم بمسح كتلتك ويؤكد، لكل خطر، ما إذا كان الإصلاح قائمًا.

المتطلبات الأساسية

قم بتثبيت هذه قبل البدء. يقوم سكريبت الإعداد بالتحقق من الأربعة الأولى ويخرج بسرعة برسالة واضحة إذا كان أي منها مفقودًا.

الأداة	لماذا	التثبيت
Docker	يدير كتلة kind ويبني الصور. يجب أن يكون قيد التشغيل.	Docker Desktop / Engine
kind	كتلة Kubernetes محلية داخل Docker.	`brew install kind`
kubectl	التحدث إلى الكتلة.	`brew install kubectl`
Go 1.21+	بناء وتشغيل المدقق الثنائي.	`brew install go`
Node.js 18+	فقط لتشغيل تطبيق الويب محليًا (`make web`). غير مطلوب للإعداد أحادي الأمر داخل الكتلة.	`brew install node`

أوامر brew مخصصة لنظام macOS. على Linux، استخدم مدير الحزم الخاص بك أو التعليمات من المصدر المرتبط.

بداية سريعة (موصى بها) — كل شيء داخل كتلة واحدة

تطبيق الويب، وطرفية المتصفح، والمدقق يمكنهم جميعًا العمل داخل كتلة kind. أمر واحد يشغل كل شيء ويطبع الرابط:

./setup.sh          # أو: make up
#   - ينشئ كتلة kind، ويبني ويحمل الصور، وينشر، وينتظر حتى يصبح جاهزًا
#   - تطبيق الويب:  http://localhost:30090
#   - الطرفية: زر 'Terminal' في تطبيق الويب

./setup.sh (ينشئ) الكتلة من جديد مع تعيينات المنافذ الصحيحة، ويبني الصورتين (nimbusmart-ctf-web, nimbusmart-ctf-terminal)، ويحملها إلى kind، ويطبق deploy/. التشغيل الأول يسحب الصور الأساسية ويستغرق حوالي 1-2 دقيقة.

./setup.sh            # كتلة جديدة + منصة كاملة (يحذف أي كتلة قديمة باسم 'owasp-labs')
./setup.sh --keep     # يعيد استخدام كتلة 'owasp-labs' الموجودة إذا كانت موجودة

ثم افتح **http://localhost:30090**، اختر تحدٍ، واستخدم زر Terminal في المتصفح لقيادة الكتلة.

تعمل حاوية الطرفية كحساب خدمة cluster-admin، لذا فإن الطرفية في المتصفح تقود هذه الكتلة نفسها — قم بتشغيل kubectl apply -f labs/... و owasp-k8s-checker --check kNN هناك.

تحذير: الطرفية داخل المتصفح تعادل cluster-admin عبر WebSocket. إنها آمنة فقط لأنها مقيدة بكتلة kind المحلية المؤقتة على localhost. لا تقم أبدًا بتعريض المنافذ 30080/30090/30091 لشبكة غير موثوقة.

إزالة الإعداد

kind delete cluster --name owasp-labs      # أو: make cluster-down

هيكل المستودع

.
├── setup.sh         سكريبت بدء التشغيل أحادي الأمر (كتلة + صور + نشر)
├── Makefile         أهداف مساعدة — قم بتشغيل `make help` لعرضها
├── web/             تطبيق Next.js + React (سمة بيضاء/بنفسجية) — واجهة المستخدم
├── labs/            ملفات Kubernetes الفعلية لكل خطر (vulnerable.yaml + fixed.yaml + README)
│   ├── NIMBUSMART.md        الكتاب المقدس: الشركة، مساحات الأسماء، مخطط الأعلام
│   └── kind-cluster.yaml    إعداد الكتلة المحلية المشتركة (تعيينات المنافذ)
├── deploy/          ملفات المنصة داخل الكتلة (ويب + طرفية + RBAC) + build.sh
├── terminal-server/ النهاية الخلفية WebSocket للطرفية داخل المتصفح
└── checker/         برنامج Go للتحقق من صحة الكتلة مقابل قائمة Top 10

أهداف make المفيدة (make help يعرض الكل):

الهدف	ما يفعله
`make up`	دفعة واحدة: كتلة + صور + نشر (يشغل `setup.sh`)
`make web`	تشغيل تطبيق الويب في وضع التطوير على :3000
`make cluster` / `make cluster-down`	إنشاء / حذف كتلة kind المحلية
`make scan`	تشغيل جميع المدققات على الكتلة الحالية
`make check ID=k01`	تشغيل مدقق واحد
`make clean-labs`	حذف جميع موارد المختبرات (إعادة تعيين بين التحديات)