Kubernetes 控制器服务帐户的可疑分配

此规则检测将控制器服务帐户附加到在 kube-system 命名空间中运行的现有或新 Pod 的请求。默认情况下，作为 API 服务器一部分运行的控制器会使用托管在 kube-system 命名空间中的具有管理员权限的服务帐户。控制器服务帐户通常不会分配给正在运行的 Pod，这可能表明集群内存在恶意行为。如果攻击者可以在 kube-system 命名空间中创建或修改 Pod 或 Pod 控制器，则可以将这些具有管理员权限的服务帐户之一分配给 Pod，并滥用其强大的令牌来提升权限并获得完整的集群控制权。

规则类型: 查询

规则索引:

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引起始时间: 无 (日期数学格式, 另请参阅 额外的回溯时间)

每次执行的最大警报数: 100

参考:

标签:

版本: 6

规则作者:

规则许可: Elastic License v2

event.dataset : "kubernetes.audit_logs"
  and kubernetes.audit.annotations.authorization_k8s_io/decision:"allow"
  and kubernetes.audit.verb : "create"
  and kubernetes.audit.objectRef.resource : "pods"
  and kubernetes.audit.objectRef.namespace : "kube-system"
  and kubernetes.audit.requestObject.spec.serviceAccountName:*controller