去年，Palo Alto Networks（派拓网络）的威胁研究与咨询团队Unit 42 曾在 Google Kubernetes Engine (GKE) 中发现多个漏洞和攻击技术。这些威胁不仅影响了 Google Cloud 用于管理 Kubernetes 集群的一款产品GKE Autopilot，同时甚至影响到了GKE 标准。

Unit 42 发现 GKE Autopilot 漏洞能够让攻击者升级权限，并接管整个集群。攻击者可以隐秘地窃取信息，部署恶意软件，实施加密挖矿攻击，以及破坏工作负载。谷歌随后解决了这些问题，并在 GKE 中部署了大量补丁保护集群。到目前为止，Unit 42 未发现这些漏洞被广泛利用。

针对Kubernetes的攻击愈演愈烈

Kubernetes是Google开源的容器编排引擎，支持自动化部署、大规模扩展和应用容器化管理。根据云原生计算基金会（CNCF）的最新年度调查显示，绝大多数企业（83%）在生产环境中运行了 Kubernetes。值得注意的是，上云为企业带来诸多益处的同时，也吸引了大量攻击者。Unit 42 监测到许多专门用于攻击 Kubernetes 的恶意软件。要想确保云上工作的安全性，就需要企业、云安全提供商和整个网络安全行业共同协作，解决漏洞和错误配置等问题。

随着 Kubernetes技术的不断进步，目前简单的错误配置和漏洞已经越来越少见，而攻击者也在不断升级攻击行为。研究表明，即使是 Kubernetes 中最细微的问题，也可能成为攻击的切入点。只有全面的云原生安全平台，才能让防御者有能力保护集群免受类似威胁。

如何防范针对Kubernetes的恶意攻击

Kubernetes 管理员可以通过制定规则和采取审核措施，监控、检测和预防集群中的可疑活动和权限升级。另外，应用 NodeAffinity、Taints 和 PodAntiAffinity 规则可以将高可靠性的 pod 与不可靠的 pod 分开。

为了保护整个云环境，最好的解决方案是采用全面的云原生安全平台。作为业界唯一的全面云原生安全平台，Prisma Cloud 利用云服务提供商 API 提供对公有云环境的可视性和控制，同时利用单个统一的代理框架将安全性扩展到主机、容器和无服务器功能。其凭借对混合和多云环境的支持，实现了全面的云原生安全。Prisma Cloud能快速全面地解决云端安全的一系列挑战，提供实时的深度云资源报告、保持云端的合规性、保护云原生资源及赋能敏捷开发。Prisma Cloud 用户可以启用 Kubernetes 准入支持，解决 Kubernetes 权限升级问题。该功能可以有效防止针对 Kubernetes 的攻击。迄今为止，Prisma Cloud获得了77%的财富100强企业信赖，客户超过1,700家。