コンテナエスケープ検出の実施

使用時期

• コンテナエスケープ検出を伴うセキュリティ評価の実施時
• 関連するセキュリティイベントのインシデント対応手順に従う際
• スケジュール済みセキュリティテストまたは監査活動の実施時
• 実践的なテストによるセキュリティ制御の検証時

前提条件

• コンテナセキュリティの概念とツールの理解
• 安全な実行のためのテスト環境またはラボ環境へのアクセス
• Python 3.8以上と必要な依存関係のインストール
• テスト活動に対する適切な認可

指示

Kubernetesポッドを監査し、プリビレッジドモード、危険なケーパビリティ、ホストネームスペース共有、書き込み可能なhostPathマウントを含むコンテナエスケープベクトルを特定します。

from kubernetes import client, config
config.load_kube_config()
v1 = client.CoreV1Api()

pods = v1.list_pod_for_all_namespaces()
for pod in pods.items:
    for container in pod.spec.containers:
        sc = container.security_context
        if sc and sc.privileged:
            print(f"PRIVILEGED: {pod.metadata.namespace}/{pod.metadata.name}")

主なエスケープベクトル:

1. プリビレッジドコンテナ(フルホストアクセス)
2. CAP_SYS_ADMINケーパビリティ
3. ホストPID/Network/IPCネームスペース共有
4. /または/etcへの書き込み可能なhostPathマウント
5. Dockerソケットマウント(/var/run/docker.sock)

例

# Dockerソケットマウントをチェック
for vol in pod.spec.volumes or []:
    if vol.host_path and "docker.sock" in (vol.host_path.path or ""):
        print(f"Docker socket exposed: {pod.metadata.name}")