Kubernetes 可疑控制器服务帐户分配

此规则检测到将控制器服务帐户附加到 kube-system 命名空间中运行的现有或新 Pod 的请求。默认情况下，作为 API 服务器一部分运行的控制器使用托管在 kube-system 命名空间中的等效于管理员的服务帐户。控制器服务帐户通常不会分配给正在运行的 Pod，这可能表明集群内存在攻击者行为。能够在 kube-system 命名空间中创建或修改 Pod 或 Pod 控制器的攻击者可以将这些等效于管理员的服务帐户之一分配给 Pod，并滥用其强大的令牌来提升权限并获得完全的集群控制权。

规则类型: 查询

规则索引:

严重性: 中等

风险评分: 47

每隔: 5 分钟运行

搜索索引自: 无 (日期数学格式，另请参见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

版本: 6

规则作者:

规则许可证: Elastic License v2

event.dataset : "kubernetes.audit_logs"
  and kubernetes.audit.annotations.authorization_k8s_io/decision:"allow"
  and kubernetes.audit.verb : "create"
  and kubernetes.audit.objectRef.resource : "pods"
  and kubernetes.audit.objectRef.namespace : "kube-system"
  and kubernetes.audit.requestObject.spec.serviceAccountName:*controller