red-kube

kubectl 기반의 Red Team K8S 적대적 에뮬레이션

Red Kube는 kubectl 명령어 모음으로, 공격자의 관점에서 Kubernetes 클러스터의 보안 태세를 평가하기 위해 작성되었습니다.

명령어는 데이터 수집 및 정보 공개를 위한 수동형(passive)이거나 클러스터에 영향을 미치는 실제 작업을 수행하는 능동형(active)입니다.

명령어는 MITRE ATT&CK 전술(Tactics)에 매핑되어, 가장 많은 격차가 있는 부분을 파악하고 발견 사항의 우선순위를 정하는 데 도움을 줍니다.

현재 버전은 Python 오케스트레이션 모듈로 감싸져 있어, 다양한 시나리오나 전술에 따라 한 번의 실행으로 여러 명령어를 실행할 수 있습니다.

일부 명령어는 능동형이며 새로운 컨테이너를 배포하거나 역할 기반 접근 제어 구성을 변경할 수 있으므로 주의해서 사용하십시오.

경고: 소유하지 않은 Kubernetes 클러스터에서 red-kube 명령어를 사용해서는 안 됩니다!

사전 요구 사항:

python3 requirements

pip3 install -r requirements.txt

kubectl (Ubuntu / Debian)

sudo apt-get update
sudo apt-get install -y apt-transport-https ca-certificates curl
sudo curl -fsSLo /usr/share/keyrings/kubernetes-archive-keyring.gpg https://packages.cloud.google.com/apt/doc/apt-key.gpg
echo "deb [signed-by=/usr/share/keyrings/kubernetes-archive-keyring.gpg] https://apt.kubernetes.io/ kubernetes-xenial main" | sudo tee /etc/apt/sources.list.d/kubernetes.list
sudo apt-get update
sudo apt-get install -y kubectl

kubectl (Red Hat 기반)

cat <<EOF > /etc/yum.repos.d/kubernetes.repo
[kubernetes]
name=Kubernetes
baseurl=https://packages.cloud.google.com/yum/repos/kubernetes-el7-x86_64
enabled=1
gpgcheck=1
repo_gpgcheck=1
gpgkey=https://packages.cloud.google.com/yum/doc/yum-key.gpg https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg
EOF
yum install -y kubectl

sudo apt-get update -y
sudo apt-get install -y jq

사용법

usage: python3 main.py [-h] [--mode active/passive/all] [--tactic TACTIC_NAME] [--show_tactics] [--cleanup]

required arguments:
--mode            run kubectl commands which are active / passive / all modes
--tactic          choose tactic

other arguments:
-h --help         show this help message and exit
--show_tactics    show all tactics

MITRE ATT&CK 전술별 명령어

웨비나

1 첫 번째 워크숍 (Lab01 및 Lab02) 웨비나 링크

2 두 번째 워크숍 (Lab03 및 Lab04) 웨비나 링크

발표 자료

BlackHat Asia 2021

Q&A

왜 kubectl을 선택했으며, 쿠버네티스 API를 파이썬으로 사용하지 않았나요?

레드팀 평가와 적대적 에뮬레이션을 수행할 때, 무기고에서 사용하는 도구를 빠르게 조작하고 조정하는 것이 중요합니다.

kubectl과 강력한 Linux 명령어를 기반으로 한 k8s 공격 기술을 결합하여 이러한 평가를 수행할 수 있다면 시간과 노력을 크게 줄일 수 있습니다.

연락처

이 연구는 Lightspin의 보안 연구 팀이 진행했습니다. 자세한 내용은 [email protected]로 문의하십시오.

라이선스

이 저장소는 Apache License 2.0에 따라 제공됩니다.

Reconnaissance	2
Initial Access	0
Execution	0
Persistence	2
Privilege Escalation	4
Defense Evasion	1
Credential Access	8
Discovery	15
Lateral Movement	0
Collection	1
Command and Control	2
Exfiltration	1
Impact	0