kube-reaper

Kubernetes RBAC आक्रमण पथ मैपर। यह पता लगाता है कि आपकी पहचान क्या कर सकती है, खतरनाक अनुमतियों को चिह्नित करता है, और उन्हें क्लस्टर समझौते के लिए बहु-चरणीय पथों में जोड़ता है।

रेड टीमर्स और पेनिट्रेशन टेस्टर्स के लिए बनाया गया।

यह क्या करता है

kube-reaper किसी भी पहचान (उपयोगकर्ता, सेवा खाता, समूह) से एक Kubernetes क्लस्टर को स्कैन करता है और उत्पन्न करता है:

• 55 खतरनाक अनुमति पैटर्न गंभीरता रेटिंग और आक्रमण निर्देशों के साथ
• 18 आक्रमण श्रृंखला प्रकार जो अनुमतियों को बहु-चरणीय एस्केलेशन पथों में जोड़ते हैं
• पुनरावर्ती पहचान पिवोटिंग जो SA टोकन रहस्यों को पढ़ती है और पहचानों में ट्रांज़िटिव एक्सेस को मैप करने के लिए टोकन बनाती है
• Pod पिवोट मैपिंग जो exec एक्सेस, चल रहे pods, और सेवा खाता अनुमतियों को जोड़ती है
• खतरनाक pod डिटेक्शन जो विशेषाधिकार प्राप्त कंटेनर, होस्ट माउंट, रनटाइम सॉकेट, और उजागर रहस्यों को चिह्नित करता है
• RBAC ग्राफ गणना जो सभी पहचानों को उनकी प्रभावी अनुमतियों से मैप करती है और अति-विशेषाधिकार प्राप्त पिवोट लक्ष्यों को चिह्नित करती है
• 31 CRD खतरा पैटर्न ArgoCD, Flux, Istio, cert-manager, Kyverno, Gatekeeper, Tekton, Crossplane, Calico, और अन्य के लिए
• रहस्य ट्राइएज जो सुलभ रहस्यों को प्रकार के अनुसार वर्गीकृत करती है (SA टोकन, रजिस्ट्री क्रेडेंशियल, TLS प्रमाणपत्र, SSH कुंजियाँ, अपारदर्शी)
• Pod संदर्भ विश्लेषण कंटेनर एस्केप वेक्टर, Linux क्षमताओं, क्लाउड IMDS, और नेटवर्क इंटरफेस के लिए
• kubectl-रहित मोड स्थानीय-केवल जाँच के लिए जब API सर्वर किसी pod से पहुँच योग्य न हो

इंस्टॉल

Rust टूलचेन (rustup + stable) की आवश्यकता है।

git clone https://github.com/youruser/kube-reaper.git
cd kube-reaper
cargo build --release

बाइनरी target/release/kube-reaper पर है।

स्टैटिक बाइनरी (तैनाती के लिए अनुशंसित)

एक musl बिल्ड बिना किसी निर्भरता के पूरी तरह से स्टैटिक बाइनरी उत्पन्न करता है। यह किसी भी Linux x86_64 सिस्टम पर काम करता है।

rustup target add x86_64-unknown-linux-musl
cargo build --release --target x86_64-unknown-linux-musl

बाइनरी target/x86_64-unknown-linux-musl/release/kube-reaper पर है (~5.4 MB)।

# Copy to a Kubernetes node
scp target/x86_64-unknown-linux-musl/release/kube-reaper user@node:/tmp/

# Copy into a running pod
kubectl cp target/x86_64-unknown-linux-musl/release/kube-reaper mynamespace/mypod:/tmp/kube-reaper

त्वरित शुरुआत

# Scan with current kubeconfig
kube-reaper

# Scan a specific namespace
kube-reaper -n production

# Scan with a stolen SA token
kube-reaper --token <JWT> --server https://10.0.0.1:6443

# Scan as a different user (requires impersonate permissions)
kube-reaper --as-user system:serviceaccount:development:code-server

# Recursive identity pivot (read SA tokens, mint new tokens, map transitive access)
kube-reaper --pivot

# Pivot with custom depth (default: 3)
kube-reaper --pivot --pivot-depth 5

# Show only critical and high findings
kube-reaper -s high

# Output JSON
kube-reaper -o json

# Save JSON report to file
kube-reaper -w results.json

CLI संदर्भ

Usage: kube-reaper [OPTIONS]

Options:
  -n, --namespace <NAMESPACE>     Target namespace (default: all accessible)
  -k, --kubeconfig <KUBECONFIG>   Path to kubeconfig file
      --token <TOKEN>             Bearer token (requires --server)
      --server <SERVER>           API server URL (required with --token)
      --as-user <USER>            Impersonate a user
      --as-group <GROUP>          Impersonate a group
      --pivot                     Recursive identity pivot via SA secrets and TokenRequest
      --pivot-depth <N>           Maximum pivot depth [default: 3]
  -o, --output <OUTPUT>           Output format [default: terminal] [values: terminal, json]
  -w, --write <WRITE>             Write JSON results to file
  -s, --severity <SEVERITY>       Minimum severity [default: low] [values: critical, high, medium, low, info]
      --unconventional-only       Show only unconventional RBAC abuses
      --chains-only               Show only attack chains
  -h, --help                      Print help
  -V, --version                   Print version

प्रमाणीकरण

kube-reaper इन प्रमाणीकरण विधियों को क्रम में आज़माता है:

1. --token + --server - प्रत्यक्ष bearer टोकन। चोरी किए गए SA टोकन या JWT के साथ उपयोग करें। स्व-हस्ताक्षरित प्रमाणपत्रों को स्वचालित रूप से स्वीकार करता है।
2. --kubeconfig / -k - स्पष्ट kubeconfig फ़ाइल। KUBECONFIG पर्यावरण चर भी पढ़ता है।
3. डिफ़ॉल्ट - इन-क्लस्टर कॉन्फ़िग (एक pod के अंदर), फिर ~/.kube/config।

--as-user और --as-group किसी भी प्रमाणीकरण विधि में impersonation हेडर जोड़ते हैं। इसके काम करने के लिए आपकी पहचान के पास impersonate क्रिया होनी चाहिए।

पहचान पिवोट

--pivot फ़्लैग पुनरावर्ती पहचान पिवोटिंग को सक्षम करता है। यह सुविधा सेवा खाता क्रेडेंशियल के माध्यम से पिवोट करके ट्रांज़िटिव आक्रमण पथों की खोज करती है।

यह कैसे काम करता है

1. kube-reaper प्रति namespace वर्तमान पहचान की अनुमतियों का विश्लेषण करता है।
2. प्रत्येक namespace के लिए जहाँ पहचान रहस्यों को पढ़ सकती है, यह SA टोकन रहस्यों (kubernetes.io/service-account-token प्रकार) को पढ़ता है और टोकन निकालता है।
3. प्रत्येक namespace के लिए जहाँ पहचान बिना संसाधन नाम प्रतिबंधों के serviceaccounts/token बना सकती है, यह TokenRequest API के माध्यम से अल्पकालिक टोकन बनाता है।
4. प्रत्येक खोजे गए टोकन के लिए, यह उस सेवा खाते के रूप में प्रमाणित करता है और सभी ज्ञात namespaces में उसकी अनुमतियों की गणना करता है।
5. यदि पिवोट की गई पहचान भी रहस्यों को पढ़ सकती है या टोकन बना सकती है, तो प्रक्रिया --pivot-depth (डिफ़ॉल्ट: 3) तक दोहराई जाती है।

स्कैन सबसे छोटे पिवोट पथों को पहले खोजने के लिए BFS ट्रैवर्सल का उपयोग करता है। यह भगोड़े स्कैन को रोकने के लिए 50 पहचानों पर रुक जाता है।

आउटपुट में क्या दिखाई देता है

प्रत्येक पिवोट की गई पहचान दिखाती है:

• गंभीरता उसकी खतरनाक अनुमतियों के आधार पर
• पिवोट विधि (SecretToken या TokenRequest) और स्रोत
• खतरनाक अनुमतियाँ उस पहचान पर पाई गईं
• आगे पिवोट क्षमता (कौन से namespaces में यह रहस्यों को पढ़ सकती है या टोकन बना सकती है)

अनुमति जाँच

पिवोट स्कैनर झूठे सकारात्मक को रोकने के लिए इन गार्डों को लागू करता है:

• API समूह स्कोपिंग: केवल कोर API समूह (या apiGroups: ["*"]) में नियम रहस्य पढ़ने और टोकन निर्माण जाँचों के लिए गिने जाते हैं। गैर-कोर समूहों (जैसे, custom.metrics.k8s.io) में नियम मेल नहीं खाते।
• संसाधन नाम प्रतिबंध: resourceNames सेट वाले नियम टोकन निर्माण के लिए नहीं गिने जाते। एक नामित सेवा खाते के लिए टोकन निर्माण की अनुमति देने वाला नियम अप्रतिबंधित टोकन निर्माण के समान नहीं है।
• क्रिया वाइल्डकार्ड मिलान: "Wildcard on All Resources" पैटर्न के लिए verbs: ["*"] की आवश्यकता होती है, न कि केवल resources: ["*"] पर कोई भी क्रिया।

आउटपुट अनुभाग

टर्मिनल आउटपुट इन अनुभागों को दिखाता है (प्रत्येक केवल तब प्रकट होता है जब उसमें निष्कर्ष हों):

अनुभाग	सामग्री
Pod संदर्भ विश्लेषण	एस्केप वेक्टर, क्षमताएँ, क्लाउड IMDS, नेटवर्क, SA टोकन, माउंट, env वेरिएबल
आक्रमण पथ श्रृंखलाएँ	चरण-दर-चरण निर्देशों के साथ बहु-चरणीय आक्रमण पथ
पहचान पिवोट ग्राफ	विधियों, अनुमतियों, और आगे पिवोट क्षमता के साथ पुनरावर्ती पहचान पिवोट मैप
खतरनाक Pods	विशेषाधिकार प्राप्त कंटेनर, होस्ट माउंट, रनटाइम सॉकेट, उजागर रहस्य
उजागर सेवाएँ	क्लस्टर के बाहर से पहुँच योग्य LoadBalancer और NodePort सेवाएँ
संवेदनशील ConfigMaps	क्रेडेंशियल या रहस्यों वाली कुंजियों वाले ConfigMaps
CronJobs	खतरनाक सेवा खाता अनुमतियों वाले शेड्यूल किए गए कार्य
रहस्य ट्राइएज	प्रकार और आक्रमण मूल्य के अनुसार वर्गीकृत सुलभ रहस्य
CRD आक्रमण सतह	ज्ञात खतरनाक ऑपरेटरों से कस्टम संसाधन
DNS सेवा खोज	CoreDNS क्वेरी के माध्यम से पाई गई सेवाएँ (कोई RBAC आवश्यक नहीं)
प्रवेश नियंत्रक प्रोबिंग	6 खतरनाक pod कॉन्फ़िगरेशन के लिए प्रति-namespace ड्राई-रन परिणाम
अन्य पहचानें	अति-विशेषाधिकार प्राप्त पहचानें जो पिवोट लक्ष्य हैं
Namespace सुरक्षा	प्रति namespace PSS प्रवर्तन स्थिति
खतरनाक अनुमतियाँ	गंभीरता के अनुसार व्यक्तिगत अनुमति निष्कर्ष
सारांश	सभी निष्कर्ष श्रेणियों की गणना

विस्तृत दस्तावेज़ीकरण