CC detecting-privilege-escalation-in-kubernetes-pods
Обнаружение и предотвращение повышения привилегий внутри подов Kubernetes путем объединения контроля доступа (политики OPA), мониторинга в реальном времени (Falco) и анализа журналов аудита контекстов безопасности, возможностей Linux и шаблонов системных вызовов. Используйте при расследовании пода, работающего с правами root или привилегированного, при усилении защиты рабочих нагрузок от повышения привилегий внутри пода или при поиске контейнеров, превышающих их предполагаемую область действия. Ключевые слова: allowPrivilegeEscalation, runAsRoot, capabilities, securityContext, OPA, Falco, audit log. Не используйте для повышения привилегий через RBAC и разрешения сервисных учетных записей — используйте auditing-kubernetes-rbac-privilege-escalation.
машинный переводПоказать оригиналСкрыть оригинал«Detects and prevents privilege escalation inside Kubernetes pods by co…»
Detects and prevents privilege escalation inside Kubernetes pods by combining admission control (OPA policies), runtime monitoring (Falco), and audit log analysis of security contexts, Linux capabilities, and syscall patterns. Use when investigating a pod running as root or privileged, hardening workloads against in-pod escalation, or hunting for containers exceeding their intended scope. Keywords: allowPrivilegeEscalation, runAsRoot, capabilities, securityContext, OPA, Falco, audit log. Do not use for escalation through RBAC and service-account permissions - use auditing-kubernetes-rbac-privilege-escalation.
Обнаружение и предотвращение повышения привилегий внутри подов Kubernetes путем объединения контроля доступа (политики OPA), мониторинга в реальном времени…
Как процесс C 64/100 · Есть пробелы — слабые места: результат и критерий готовности, ошибки и развилки, повторный запуск
Как улучшить
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 21
✓ Критических и высоких находок нет
Средние и низкие: 21
-
низкая Рискованное назначение
intent-offensive-securityassets/template.md:1Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)# Privilege Escalation Detection Checklist
-
низкая Рискованное назначение
intent-offensive-securityassets/template.md:10Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)- [ ] Falco rules deployed for privilege escalation patterns
детектор -
низкая Рискованное назначение
intent-offensive-securityreferences/api-reference.md:1Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)# API Reference: Detecting Privilege Escalation in Kubernetes Pods
детектор -
низкая Рискованное назначение
intent-offensive-securityreferences/standards.md:1Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)# Standards - Detecting Privilege Escalation in Kubernetes Pods
детектор -
низкая Рискованное назначение
intent-offensive-securityreferences/standards.md:7Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)| Escape to Host | T1611 | Container breakout via privilege escalation |
-
низкая Рискованное назначение
intent-offensive-securityreferences/standards.md:8Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)| Exploitation for Privilege Escalation | T1068 | Kernel exploit from container |
-
низкая Опасные команды
cmd-privilegereferences/standards.md:9Повышение привилегий / права на запись для всех (документация security-скилла)| Abuse Elevation Control | T1548 | Setuid/setgid binary exploitation |
security-скилл -
низкая Рискованное назначение
intent-offensive-securityreferences/standards.md:19Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)- Section 5.4: Runtime monitoring for privilege escalation
-
низкая Рискованное назначение
intent-offensive-securityreferences/standards.md:27Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)| Restricted | Heavily restricted | Non-root, drop all caps, no privilege escalation |
-
низкая Рискованное назначение
intent-offensive-securityreferences/workflows.md:1Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)# Workflow - Detecting Privilege Escalation in Kubernetes Pods
детектор -
низкая Рискованное назначение
intent-offensive-securityreferences/workflows.md:21Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)1. Install Falco with privilege escalation rules
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:4Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)Detects and prevents privilege escalation inside Kubernetes pods by combining admission
детектор -
низкая Рискованное назначение
intent-offensive-securitySKILL.md:42Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)# Detecting Privilege Escalation in Kubernetes Pods
детектор -
низкая Рискованное назначение
intent-offensive-securitySKILL.md:46Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)Privilege escalation in Kubernetes occurs when a pod or container gains elevated permissions beyond its intended scope. This includes running as root, using privileged mode, mounting host filesystems,
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:51Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение) (определение детектора / чёрного списка)- When investigating security incidents that require detecting privilege escalation in kubernetes pods
детектор -
низкая Рискованное назначение
intent-offensive-securitySKILL.md:63Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)## Privilege Escalation Vectors in Kubernetes
-
низкая Опасные команды
cmd-privilegeSKILL.md:72Повышение привилегий / права на запись для всех (документация security-скилла)| allowPrivilegeEscalation: true | setuid/setgid exploitation | Admission control |
security-скилл -
низкая Опасные команды
cmd-privilegeSKILL.md:155Повышение привилегий / права на запись для всех (документация security-скилла)Setuid/setgid binary executed in container
security-скилл
Ещё 3 совпадений отнесены к цитатам в документации скилла по безопасности и не считаются находками.
Просканировано файлов: 8. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
- заметка
frontmatter-keyнеизвестное поле фронтматтера "domain" - заметка
frontmatter-keyнеизвестное поле фронтматтера "subdomain" - заметка
frontmatter-keyнеизвестное поле фронтматтера "d3fend_techniques" - заметка
frontmatter-keyнеизвестное поле фронтматтера "nist_csf" - заметка
frontmatter-keyнеизвестное поле фронтматтера "mitre_attack"
Процессный рейтинг: все десять параметров 64/100
- 0Результат и критерий готовности. Не сказано, что считать результатом
- 0Ошибки и развилки. Линейный процесс без обработки сбоев
- 30Повторный запуск. Изменяющих операций: 1, без проверки текущего состояния
- 50Когда включается. Не сказано, при каком запросе скилл включается
- 70Входы и предусловия. Входные данные и предусловия перечислены
- 100Инструменты и файлы. Внешние инструменты не нужны
- 100Шаги. Шагов: 16
- 100Согласованность. Имя и обязательные поля на месте
- 100Стоимость исполнения. Тело инструкции 2064 токенов
- 100Отчётность по ходу. Скилл сообщает о ходе работы
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +5В description нет примеров фраз, по которым скилл должен срабатывать
- +3Формат ответа не описан: модель каждый раз решает сама
- -43 справочных файлов, но SKILL.md на них не ссылается: модель их не откроет
- -32 из 2 скриптов не упомянуты в SKILL.md
- +2Инструкции на одном языке
- +4Описание говорит, когда скилл НЕ применять
- +3Длина description 616 символов: достаточно сигнала, не съедает бюджет
- +4Структура: 13 заголовков
- +3Пошаговые инструкции: 16 пунктов
- +4Есть примеры (6 блоков кода)
- +1Лицензия указана
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 79.