Day-243-云原生应急响应

# Day 291: 云原生应急响应 - K8s/容器/云 API/Serverless 事件响应

> 应急响应系列第 31 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [云原生安全概述](#云原生安全概述)
2. [Kubernetes 事件响应](#kubernetes-事件响应)
3. [容器安全事件响应](#容器安全事件响应)
4. [云 API 安全事件](#云 api-安全事件)
5. [Serverless 安全事件](#serverless-安全事件)
6. [云原生取证技术](#云原生取证技术)
7. [总结与思考](#总结与思考)
8. [参考资料](#参考资料)

---

## 云原生安全概述

### 云原生架构

**核心组件**：
```
容器运行时:
- Docker
- Containerd
- CRI-O

编排平台:
- Kubernetes
- ECS
- AKS
- GKE

服务网格:
- Istio
- Linkerd
- Consul Connect

Serverless:
- AWS Lambda
- Azure Functions
- Google Cloud Functions
```

**攻击面**：
```
容器层:
- 镜像漏洞
- 配置错误
- 容器逃逸

编排层:
- API Server
- etcd
- Kubelet
- 网络策略

应用层:
- 微服务
- API 网关
- 服务间通信

云基础设施:
- IAM
- 云 API
- 存储服务
```

### 云原生威胁

**常见攻击**：
```
容器攻击:
- 恶意镜像
- 容器逃逸
- 凭证窃取

K8s 攻击:
- 未授权访问
- 特权 Pod
- RBAC 滥用

云 API 攻击:
- 凭证泄露
- 权限滥用
- 数据渗出

Serverless 攻击:
- 代码注入
- 事件注入
- 依赖攻击
```

---

## Kubernetes 事件响应

### K8s 威胁检测

**检测指标**：
```
异常 Pod:
- 特权容器创建
- 宿主机挂载
- 异常镜像
- 异常网络

异常 API 调用:
- 未授权访问
- 异常创建
- 批量删除
- 配置修改

异常网络:
- 异常外联
- 端口扫描
- 横向移动
- 数据渗出
```

**检测工具**：
```
Falco:
- 运行时安全
- 行为检测
- 告警通知

Kube-bench:
- CIS 基准检查
- 配置审计
- 合规验证

Kube-hunter:
- 渗透测试
- 漏洞扫描
- 风险评估
```

### K8s 响应流程

**立即响应**：
```bash
# 隔离恶意 Pod
kubectl delete pod <malicious-pod> -n <namespace>
kubectl label namespace <namespace> quarantine=true

# 限制网络访问
kubectl apply -f network-policy-quarantine.yaml

# 撤销凭证
kubectl delete serviceaccount <compromised-sa>
kubectl delete clusterrolebinding <compromised-crb>
```

**调查取证**：
```bash
# 收集 Pod 信息
kubectl get pod <pod> -o yaml > pod-spec.yaml
kubectl describe pod <pod> > pod-description.txt

# 收集日志
kubectl logs <pod> > pod-logs.txt
kubectl logs <pod> --previous > pod-previous-logs.txt

# 收集事件
kubectl get events --sort-by='.lastTimestamp' > cluster-events.txt

# 收集审计日志
kubectl get --raw=/logs/kube-apiserver-audit.log > audit.log
```

**根除恢复**：
```bash
# 重建受影响 namespace
kubectl delete namespace <compromised-ns>
kubectl create namespace <compromised-ns>

# 重置凭证
kubectl create serviceaccount <new-sa>
kubectl create clusterrolebinding <new-crb> --clusterrole=<role> --serviceaccount=<ns>:<sa>

# 修复配置
kubectl apply -f fixed-config.yaml
```

---

## 容器安全事件响应

### 容器逃逸响应

**检测指标**：
```
逃逸迹象:
- 挂载 Docker Socket
- 特权容器
- 宿主机进程访问
- 敏感文件访问

检测命令:
docker ps --filter "privileged=true"
docker inspect <container> | grep -i privileged
cat /proc/1/cgroup  # 检查是否在容器内
```

**响应措施**：
```bash
# 停止逃逸容器
docker stop <container>
docker rm <container>

# 隔离宿主机
# 禁用 Docker 服务
systemctl stop docker

# 收集证据
docker inspect <container> > container-inspect.json
docker logs <container> > container-logs.txt

# 检查其他容器
docker ps -a --format "table {{.ID}}\t{{.Names}}\t{{.Status}}"
```

### 恶意镜像响应

**检测措施**：
```bash
# 扫描镜像
docker scan <image>
trivy image <image>

# 检查镜像历史
docker history <image>
docker inspect <image>
```

**响应措施**：
```bash
# 删除恶意镜像
docker rmi <malicious-image>

# 阻止镜像拉取
# 配置镜像白名单

# 重新部署安全镜像
docker pull <trusted-image>
docker run <trusted-image>
```

---

## 云 API 安全事件

### 凭证泄露响应

**检测指标**：
```
异常 API 调用:
- 非常用区域调用
- 非常用时间调用
- 大量资源创建
- 敏感操作

检测工具:
- CloudTrail (AWS)
- Activity Log (Azure)
- Cloud Audit Logs (GCP)
```

**响应措施**：
```bash
# AWS 凭证泄露
aws iam deactivate-access-key --access-key-id <key-id>
aws iam delete-access-key --access-key-id <key-id>

# Azure 凭证泄露
az ad app credential delete --id <app-id> --key-id <key-id>

# GCP 凭证泄露
gcloud iam service-accounts keys delete <key-id>

# 创建新凭证
# ... (通过安全渠道)
```

### 权限滥用响应

**检测指标**：
```
权限滥用:
- 权限提升
- 跨账户访问
- 敏感资源访问
- 批量操作
```

**响应措施**：
```bash
# AWS 限制权限
aws iam put-user-policy --user-name <user> --policy-name <policy> --policy-document file://restrictive-policy.json

# Azure 限制权限
az role assignment delete --assignee <user> --role <role>

# GCP 限制权限
gcloud projects remove-iam-policy-binding <project> --member=user:<user> --role=<role>
```

---

## Serverless 安全事件

### 函数代码注入响应

**检测指标**：
```
代码篡改:
- 函数代码变更
- 依赖包变更
- 环境变量变更
- 触发器变更
```

**响应措施**：
```bash
# AWS Lambda
# 回滚函数版本
aws lambda update-function-configuration --function-name <name> --publish

# 禁用函数
aws lambda update-function-configuration --function-name <name> --tracing-config Mode=PassThrough

# 恢复安全版本
aws lambda publish-version --function-name <name>
```

### 事件注入响应

**检测指标**：
```
异常事件:
- 异常触发源
- 异常事件内容
- 异常执行频率
- 异常输出
```

**响应措施**：
```bash
# 禁用触发器
aws lambda remove-permission --function-name <name> --statement-id <id>

# 添加事件验证
# 部署输入验证代码

# 启用日志记录
aws lambda update-function-configuration --function-name <name> --environment Variables="{LOG_LEVEL=DEBUG}"
```

---

## 云原生取证技术

### 容器取证

**取证内容**：
```
容器信息:
- 容器配置
- 镜像信息
- 运行状态
- 网络配置

文件系统:
- 容器文件系统
- 挂载点
- 日志文件
- 配置文件

进程信息:
- 运行进程
- 进程树
- 网络连接
- 打开文件
```

**取证工具**：
```
Docker 命令:
docker inspect
docker logs
docker exec

专用工具:
- Docker Bench
- kube2iam
- Falco
```

### K8s 取证

**取证内容**：
```
集群配置:
- Pod 配置
- 服务配置
- RBAC 配置
- 网络策略

审计日志:
- API 调用
- 认证事件
- 授权事件
- 配置变更

运行时数据:
- 容器日志
- 系统日志
- 网络流量
- 指标数据
```

**取证工具**：
```
kubectl 命令:
kubectl get --all-namespaces -o yaml
kubectl describe
kubectl logs

专用工具:
- Kube-forensics
- Kubectl-who-can
- Kubectl-nsenter
```

### 云取证

**取证内容**：
```
云 API 日志:
- CloudTrail (AWS)
- Activity Log (Azure)
- Cloud Audit Logs (GCP)

资源配置:
- IAM 配置
- 网络配置
- 存储配置
- 计算配置

监控数据:
- CloudWatch (AWS)
- Azure Monitor
- Cloud Monitoring (GCP)
```

**取证工具**：
```
云厂商工具:
- AWS Athena (日志查询)
- Azure Sentinel
- GCP Security Command Center

第三方工具:
- Dome9
- CloudSploit
- Prisma Cloud
```

---

## 总结与思考

### 核心要点回顾

1. **云原生威胁**：容器、K8s、云 API、Serverless 攻击
2. **K8s 响应**：检测、隔离、调查、恢复
3. **容器响应**：逃逸检测、恶意镜像处理
4. **云 API 响应**：凭证泄露、权限滥用处理
5. **Serverless 响应**：代码注入、事件注入处理
6. **云原生取证**：容器、K8s、云环境取证

### 深入思考

**云原生挑战**：
- 动态环境难取证
- 多租户隔离
- 责任共担模型
- 技能短缺

**发展方向**：
- 自动化响应
- 云原生 SIEM
- 统一可视性
- 零信任架构

### 最佳实践

**准备阶段**：
- 云安全培训
- 响应流程制定
- 工具准备
- 演练准备

**响应阶段**：
- 快速隔离
- 完整取证
- 合规处理
- 彻底恢复

---

## 参考资料

### 学习资源

- **CNCF Security**: https://github.com/cncf/tag-security
- **Kubernetes Security**: https://kubernetes.io/docs/concepts/security/
- **OWASP Kubernetes Security**: https://owasp.org/www-project-kubernetes-security/

### 工具资源

- **Falco**: https://falco.org
- **Trivy**: https://github.com/aquasecurity/trivy
- **Kube-bench**: https://github.com/aquasecurity/kube-bench

---

*Day 291 完成 | 云原生应急响应详解 | 字数：约 25,000 字 (新增)*