Kubernetes ist nicht immun gegen Ransomware – und wie Illumio helfen kann

Ransomware ist in Kubernetes kein Problem, oder? Container-Konstrukte sind so dynamisch und flüchtig, dass kaum ein Risiko besteht, dass Ransomware Zeit hätte, zum Beispiel einen Pod zu kapern und dann zu versuchen, bösartige Payloads seitlich zwischen Namespaces zu verbreiten. Die Pods drehen sich so dynamisch auf und ab, dass Ransomware in Kubernetes kaum ein Problem ist, sodass mein Cluster vor dieser speziellen Cybersicherheitsbedrohung geschützt ist, oder?

Leider hat sich diese Annahme zu oft als falsch erwiesen. Ransomware funktioniert in Kubernetes in der Regel anders als außerhalb von Container-Clustern, aber es ist ein sehr reales Cybersicherheitsrisiko, das DevSecOps-Architekten nicht ignorieren können. Ransomware kann in einem Kubernetes-Cluster sehr realen Schaden anrichten, und die beste Form der Abhilfe ist die Prävention.

Illumio kann verhindern, dass Ransomware Ihren Kubernetes-Cluster kapert, und verhindern, dass Ihr Unternehmen das nächste Opfer eines Cyberangriffs ist, das in den Nachrichten erscheint.  ‍

Wie sich Ransomware in Kubernetes ausbreitet

Bei Workloads, die keine Container sind, entführt Ransomware einen Host und sucht dann nach offenen Ports. Gängige Ports, die bei vielen Workloads standardmäßig geöffnet sind, sind RDP, SSH und SMB. Für Ransomware ist es trivial, Verbindungen über diese Ports zu fälschen und eine Verbindung zu einem benachbarten Host herzustellen. Sobald die Verbindung offen ist, kann Ransomware schnell bösartige Nutzlast an den nächsten Host liefern, die Kontrolle über sie übernehmen und nach offenen Ports suchen, wobei dieser Vorgang auf allen benachbarten Hosts sehr schnell wiederholt wird.  

Diese Ausbreitung zwischen Hosts kann schneller erfolgen, als die meisten Erkennungs- und Reaktionslösungen für Malware-Schutz identifizieren und darauf reagieren können. Schon bald kann die gesamte Infrastruktur als Geisel genommen werden.  

In Kubernetes sind Hosts – auch als "Knotenpunkte" bekannt – virtuelle Maschinen (VMs) oder Bare-Metal-Hosts, die Container-Code ausführen. Sie schaffen eine Abstraktionsschicht über dem zugrundeliegenden Betriebssystem (OS) des Knotens. Ein Cluster wird erstellt, wenn Pods und Services mit einem Namensraum verknüpft sind, und dieser Namensraum enthält den gesamten Code und die Bibliotheken, die die darin laufende Anwendung benötigt. Die Konstrukte innerhalb eines Namensraums sind dynamisch: Wenn Rechenressourcen horizontal skaliert werden, laufen Pods hoch und führen Code aus, können dann schnell wieder heruntergefahren werden, nur um später mit einer anderen IP-Adresse wieder hochzufahren.  

Die Lebensdauer eines Pods kann sehr kurz sein, und die meisten Pods haben keine offenen Ports wie RDP oder SSH. Das liegt daran, dass Pods diese Protokolle nicht nutzen, um mit anderen Pods zu kommunizieren. Daher wird Ransomware oft als von geringer Relevanz innerhalb eines Clusters wahrgenommen.  

Ransomware ist eine große Bedrohung in Kubernetes

Ransomware kann jedoch schnell zu einer Cyberkatastrophe in einem Kubernetes-Cluster werden. Bösartiger Code kann früh im Codeentwicklungszyklus eingeführt werden, aber nicht erkannt werden, weil er noch nicht läuft. Bösartige Nutzlasten können auch über offengelegte APIs, schwache Authentifizierungseinstellungen, nicht gepatchte Software oder vielleicht das häufigste Risiko: falsch konfigurierte Einstellungen, in einen Kubernetes-Cluster eingeführt werden.  

Cyberbedrohungen können überall in der Software-Lieferkette eingeführt werden. Zum Beispiel, wenn das Image eines Containers aus einem Open-Source-Repository heruntergeladen wird; und dann innerhalb eines Clusters ausgeführt werden kann, kann dieses Bild eingebetteten Code enthalten, der ausgeführt und aus einer Kapsel in den darunterliegenden Knoten "entweichen" kann. Anschließend wird Ransomware in diesen zugrundeliegenden Knoten eingesetzt. An diesem Punkt kann Ransomware diesen Knoten kapern und Verbindungen über offene Ports zu benachbarten Knoten herstellen, sodass die Bedrohung schnell alle zugrundeliegenden Knoten, die den Kubernetes-Cluster hosten, kapern oder verschlüsseln kann.  

Dies kann dazu führen, dass Anwendungen, die auf Worker-Nodes laufen, "bricked" werden – also effektiv herunterfahren. Wenn der Code in einen darunterliegenden Master-Node entweicht, kann die Kontrollebene des Kubernetes-Clusters gekapert werden und das Risiko besteht, den gesamten Cluster unbrauchbar zu machen. Ein kleines Problem, das früh im Code-Entwicklungszyklus eingeführt wird, kann schnell zu einer großen Katastrophe werden.  

Ein Beispiel für diese Art von Malware ist Siloscape, das im März 2021 entdeckt wurde. Es nutzt Schwachstellen in wenig dokumentierten Threadprozessen, um auf den zugrundeliegenden Knoten zuzugreifen, und kann dann auf kubectl zugreifen, um Befehle auszuführen, die sich auf benachbarte Knoten ausbreiten. Dies ist ein deutliches Beispiel dafür, warum die Kontrollebene der Kubernetes-Knoten geschützt und der Zugriff durch andere Prozesse eingeschränkt werden muss. Illumio kann den Zugriff auf bestimmte Prozesse auf einem Host erzwingen, was einschränkt, wer Zugriff darauf hat.  

Illumio kann proaktiv vor Ransomware in Kubernetes schützen

Illumio erzwingt die Workload-Kommunikation sowohl innerhalb eines Kubernetes-Clusters als auch des zugrunde liegenden Knotens.  

Innerhalb eines Kubernetes-Clusters Illumio erzwingt die Kommunikation zwischen Namespaces oder zwischen Namespaces und Workloads außerhalb eines Ingress-Controllers und verhindert so unnötige Kommunikation zwischen Workloads. Im Gegensatz zu anderen Anbietern erstreckt sich die Transparenz und Durchsetzung von Illumio auf die gesamte hybride Angriffsfläche, nicht nur auf Container, und ermöglicht es SecOps-Teams, Richtliniensilos zu beseitigen und bestehende Abläufe in Container auszuweiten, um die Cyber-Resilienz zu verbessern.

Zwischen zugrunde liegenden Knoten, Illumio wird auch die Kommunikation erzwingen, so dass, wenn unbekannter bösartiger Code aus dem Kubernetes-Cluster zum Knoten entweicht, dieser bösartige Code daran gehindert wird, sich auf benachbarte Knoten auszubreiten. Dies ist möglich, weil Illumio verhindert, dass Sitzungen zwischen diesen Knoten aufgebaut werden. Da Illumio davon ausgeht, dass Sicherheitsverletzungen unvermeidlich sind, selbst durch Bedrohungen, die zu Beginn der Software-Lieferkette eingeführt werden, sind Kubernetes-Cluster gegen Ransomware gesichert, um die zugrunde liegende Infrastruktur zu stören.  

Wie man die Sicherheit in Kubernetes mit Illumio nach links verschiebt

In der Cybersicherheit bezieht sich Shift-Left auf die Einführung von Sicherheitslösungen zu Beginn des Lebenszyklus der Codeentwicklung:  

• Die rechte Seite des Lebenszyklus stellt das Hosten von Code als Anwendung und das Bereitstellen einer Firewall davor dar.

• Die linke Seite stellt die Geburt dieses Codes dar, während er entwickelt wird.  

Wenn ein verwalteter Workload eine unbekannte Bedrohung enthält, die in den Code eingebettet ist, der später gestartet wird und versucht, sich auf benachbarte Hosts auszubreiten, verhindert Illumio die Ausbreitung dieser Bedrohung.

Dies gilt auch dann, ohne dass Illumio die Absicht dieser Drohung kennt. Die meisten Detect-and-Response-Sicherheitslösungen versuchen, die Art einer Bedrohung zu verstehen, bevor sie eine Entscheidung treffen. Aber Illumio verschwendet keine Zeit damit, dies zu verstehen, bevor er eine Entscheidung trifft. Der Umfang der lateralen Kommunikation, der für die meisten Workloads erforderlich ist, ist begrenzt, und die meisten offenen Ports sollten geschlossen oder kontinuierlich überwacht werden. Geräte können unter Quarantäne gestellt werden und Illumio kann jede laterale Kommunikation verhindern, ohne wissen zu müssen, um welche Art von Schaden es sich handelt.  

Kubernetes sollte niemals als immun gegen Ransomware angesehen werden. Prävention ist die beste Form der Abhilfe, und Illumio verhindert, dass Ransomware alle Workloads infiziert, sogar in Kubernetes.

Möchten Sie mehr darüber erfahren, wie Illumio Kubernetes vor der Ausbreitung von Ransomware schützen kann? Kontaktieren Sie uns noch heute für eine kostenlose Beratung und Demo.