kube-reaper

مخطط مسارات هجمات RBAC في Kubernetes. يكتشف ما يمكن لهويتك فعله، ويحدد الصلاحيات الخطيرة، ويربطها في مسارات متعددة الخطوات للوصول إلى اختراق العنقود.

مصمم لفِرَق الاختبار الأمني الهجومي ومختبري الاختراق.

ما الذي يفعله

يقوم kube-reaper بفحص عنقود Kubernetes من أي هوية (مستخدم، حساب خدمة، مجموعة) وينتج:

• 55 نمط صلاحيات خطيرة مع تصنيفات الخطورة وتعليمات الهجوم
• 18 نوعًا من سلاسل الهجوم تربط الصلاحيات في مسارات تصعيد متعددة الخطوات
• التنقل العودي بين الهويات الذي يقرأ أسرار رموز SA ويصدر رموزًا لرسم الوصول العابر بين الهويات
• رسم التنقل عبر Pods الذي يربط وصول exec، وPods قيد التشغيل، وصلاحيات حساب الخدمة
• كشف Pods الخطيرة الذي يحدد الحاويات ذات الصلاحيات العالية، وعمليات التركيب على المضيف، ومقابس وقت التشغيل، والأسرار المكشوفة
• تعداد مخطط RBAC الذي يرسم جميع الهويات إلى صلاحياتها الفعلية ويحدد أهداف التنقل ذات الصلاحيات المفرطة
• 31 نمط تهديد CRD لـ ArgoCD وFlux وIstio وcert-manager وKyverno وGatekeeper وTekton وCrossplane وCalico وغيرها
• فرز الأسرار الذي يصنف الأسرار التي يمكن الوصول إليها حسب النوع (رموز SA، بيانات اعتماد السجل، شهادات TLS، مفاتيح SSH، غير شفافة)
• تحليل سياق Pod لنواقل الهروب من الحاويات، وقدرات Linux، وIMDS السحابي، وواجهات الشبكة
• وضع بدون kubectl للفحوصات المحلية فقط عندما لا يمكن الوصول إلى خادم API من داخل Pod

التثبيت

يتطلب سلسلة أدوات Rust (rustup + stable).

git clone https://github.com/youruser/kube-reaper.git
cd kube-reaper
cargo build --release

الملف التنفيذي موجود في target/release/kube-reaper.

ملف تنفيذي ثابت (موصى به للنشر)

ينتج بناء musl ملفًا تنفيذيًا ثابتًا بالكامل بدون أي تبعيات. يعمل على أي نظام Linux x86_64.

rustup target add x86_64-unknown-linux-musl
cargo build --release --target x86_64-unknown-linux-musl

الملف التنفيذي موجود في target/x86_64-unknown-linux-musl/release/kube-reaper (~5.4 MB).

# Copy to a Kubernetes node
scp target/x86_64-unknown-linux-musl/release/kube-reaper user@node:/tmp/

# Copy into a running pod
kubectl cp target/x86_64-unknown-linux-musl/release/kube-reaper mynamespace/mypod:/tmp/kube-reaper

البدء السريع

# Scan with current kubeconfig
kube-reaper

# Scan a specific namespace
kube-reaper -n production

# Scan with a stolen SA token
kube-reaper --token <JWT> --server https://10.0.0.1:6443

# Scan as a different user (requires impersonate permissions)
kube-reaper --as-user system:serviceaccount:development:code-server

# Recursive identity pivot (read SA tokens, mint new tokens, map transitive access)
kube-reaper --pivot

# Pivot with custom depth (default: 3)
kube-reaper --pivot --pivot-depth 5

# Show only critical and high findings
kube-reaper -s high

# Output JSON
kube-reaper -o json

# Save JSON report to file
kube-reaper -w results.json

مرجع CLI

Usage: kube-reaper [OPTIONS]

Options:
  -n, --namespace <NAMESPACE>     Target namespace (default: all accessible)
  -k, --kubeconfig <KUBECONFIG>   Path to kubeconfig file
      --token <TOKEN>             Bearer token (requires --server)
      --server <SERVER>           API server URL (required with --token)
      --as-user <USER>            Impersonate a user
      --as-group <GROUP>          Impersonate a group
      --pivot                     Recursive identity pivot via SA secrets and TokenRequest
      --pivot-depth <N>           Maximum pivot depth [default: 3]
  -o, --output <OUTPUT>           Output format [default: terminal] [values: terminal, json]
  -w, --write <WRITE>             Write JSON results to file
  -s, --severity <SEVERITY>       Minimum severity [default: low] [values: critical, high, medium, low, info]
      --unconventional-only       Show only unconventional RBAC abuses
      --chains-only               Show only attack chains
  -h, --help                      Print help
  -V, --version                   Print version

المصادقة

يجرّب kube-reaper طرق المصادقة التالية بالترتيب:

1. --token + --server - رمز حامل مباشر. استخدمه مع رمز SA مسروق أو JWT. يقبل الشهادات الموقعة ذاتيًا تلقائيًا.
2. --kubeconfig / -k - ملف kubeconfig صريح. يقرأ أيضًا متغير البيئة KUBECONFIG.
3. الافتراضي - إعداد داخل العنقود (داخل Pod)، ثم ~/.kube/config.

يضيف --as-user و--as-group ترويسات انتحال الهوية إلى أي طريقة مصادقة. يجب أن تمتلك هويتك فعل impersonate لكي يعمل هذا.

التنقل بين الهويات

يُمكّن علم --pivot التنقل العودي بين الهويات. تكتشف هذه الميزة مسارات الهجوم العابرة من خلال التنقل عبر بيانات اعتماد حسابات الخدمة.

كيف يعمل

1. يحلل kube-reaper صلاحيات الهوية الحالية لكل namespace.
2. لكل namespace يمكن للهوية قراءة الأسرار فيه، يقرأ أسرار رموز SA (من النوع kubernetes.io/service-account-token) ويستخرج الرمز.
3. لكل namespace يمكن للهوية إنشاء serviceaccounts/token فيه دون قيود على اسم المورد، يصدر رموزًا قصيرة العمر عبر واجهة TokenRequest API.
4. لكل رمز مكتشف، يصادق بصفته ذلك الحساب الخدمي ويعدّد صلاحياته عبر جميع الـ namespaces المعروفة.
5. إذا كانت الهوية المنقولة تستطيع أيضًا قراءة الأسرار أو إصدار الرموز، تتكرر العملية حتى --pivot-depth (الافتراضي: 3).

يستخدم الفحص اجتياز BFS للعثور على أقصر مسارات التنقل أولاً. يتوقف عند 50 هوية لمنع الفحوصات الجامحة.

ما يظهر في المخرجات

تُظهر كل هوية منقولة:

• الخطورة بناءً على صلاحياتها الخطيرة
• طريقة التنقل (SecretToken أو TokenRequest) والمصدر
• الصلاحيات الخطيرة الموجودة على تلك الهوية
• قدرة التنقل الإضافية (في أي namespaces يمكنها قراءة الأسرار أو إصدار الرموز)

فحوصات الصلاحيات

يطبّق ماسح التنقل هذه الضوابط لمنع الإيجابيات الكاذبة:

• تحديد نطاق مجموعة API: فقط القواعد في مجموعة API الأساسية (أو apiGroups: ["*"]) تُحتسب لفحوصات قراءة الأسرار وإنشاء الرموز. القواعد في المجموعات غير الأساسية (مثل custom.metrics.k8s.io) لا تتطابق.
• قيود اسم المورد: القواعد التي تحتوي على resourceNames محددة لا تُحتسب لإنشاء الرموز. القاعدة التي تسمح بإنشاء رمز لحساب خدمة واحد مسمّى ليست نفس إنشاء الرموز غير المقيّد.
• مطابقة حرف البدل للأفعال: يتطلب نمط "Wildcard on All Resources" وجود verbs: ["*"]، وليس مجرد أي فعل على resources: ["*"].

أقسام المخرجات

تُظهر مخرجات الطرفية هذه الأقسام (يظهر كل منها فقط عندما يحتوي على نتائج):

القسم	المحتوى
Pod Context Analysis	نواقل الهروب، القدرات، IMDS السحابي، الشبكة، رمز SA، عمليات التركيب، متغيرات البيئة
Attack Path Chains	مسارات هجوم متعددة الخطوات مع تعليمات خطوة بخطوة
Identity Pivot Graph	خريطة التنقل العودي بين الهويات مع الطرق والصلاحيات وقدرة التنقل الإضافية
Dangerous Pods	حاويات ذات صلاحيات عالية، عمليات تركيب على المضيف، مقابس وقت التشغيل، أسرار مكشوفة
Exposed Services	خدمات LoadBalancer وNodePort يمكن الوصول إليها من خارج العنقود
Sensitive ConfigMaps	ConfigMaps بمفاتيح تحتوي على بيانات اعتماد أو أسرار
CronJobs	مهام مجدولة بصلاحيات حساب خدمة خطيرة
Secret Triage	الأسرار التي يمكن الوصول إليها مصنفة حسب النوع وقيمة الهجوم
CRD Attack Surface	موارد مخصصة من مشغّلات خطيرة معروفة
DNS Service Discovery	الخدمات المكتشفة عبر استعلامات CoreDNS (بدون الحاجة إلى RBAC)
Admission Controller Probing	نتائج dry-run لكل namespace لستة إعدادات Pod خطيرة
Other Identities	هويات ذات صلاحيات مفرطة تُعد أهداف تنقل
Namespace Security	حالة تطبيق PSS لكل namespace
Dangerous Permissions	نتائج الصلاحيات الفردية حسب الخطورة
Summary	أعداد جميع فئات النتائج

التوثيق التفصيلي