Kubernetes拒绝服务账户请求

此规则检测服务账户是否对API服务器发起了未经授权的资源请求。服务账户的行为模式非常可预测。服务账户绝不应该向API服务器发送未经授权的请求。此行为可能是系统遭到入侵或集群内部存在问题的指示。攻击者可能已获取凭据/令牌，这可能是尝试访问或创建资源以促进在集群中进一步移动或执行操作的尝试。

规则类型: 查询

规则索引:

严重性: 中等

风险评分: 47

每隔: 5分钟

搜索索引时间范围: 无 (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考:

标签:

版本: 5

规则作者:

规则许可证: Elastic License v2

event.dataset: "kubernetes.audit_logs"
  and kubernetes.audit.user.username: system\:serviceaccount\:*
  and kubernetes.audit.annotations.authorization_k8s_io/decision: "forbid"