Kubernetes 可疑的控制器服务帐户分配

此规则检测到将控制器服务帐户附加到 kube-system 命名空间中运行的现有或新 Pod 的请求。默认情况下，作为 API 服务器的一部分运行的控制器使用 kube-system 命名空间中托管的管理员等效服务帐户。控制器服务帐户通常不会分配给正在运行的 Pod，并且可能表明集群中存在攻击者行为。如果攻击者可以在 kube-system 命名空间中创建或修改 Pod 或 Pod 控制器，则可以将其中一个管理员等效服务帐户分配给 Pod，并滥用其强大的令牌来提升权限并获得完整的集群控制权。

规则类型：查询

规则索引:

严重性：中等

风险评分: 47

运行间隔：5 分钟

搜索索引范围：无（日期数学格式，另请参阅额外的回溯时间）

每次执行的最大警报数: 100

参考:

标签:

版本: 6

规则作者:

规则许可证：Elastic 许可证 v2

event.dataset : "kubernetes.audit_logs"
  and kubernetes.audit.annotations.authorization_k8s_io/decision:"allow"
  and kubernetes.audit.verb : "create"
  and kubernetes.audit.objectRef.resource : "pods"
  and kubernetes.audit.objectRef.namespace : "kube-system"
  and kubernetes.audit.requestObject.spec.serviceAccountName:*controller