6.5 · Parcours 6 — Sécuriser (CKS)
Restreindre le trafic avec les NetworkPolicies
Lab Kubernetes · questionnaire de validation · gratuit, dans le navigateur
La leçon 3.5 a fermé les flux entrants. Un attaquant qui prend le contrôle d'un pod cherche pourtant d'abord à sortir : télécharger ses outils, exfiltrer des données, joindre d'autres services. Un namespace vraiment durci filtre donc les deux sens, n'autorise que les destinations prévues, et laisse passer le DNS. Cette leçon construit une politique réseau complète, du type de celles que demandent les audits de sécurité.
Ce que vous saurez à la fin : fermer un namespace dans les deux sens, rouvrir le DNS sans ouvrir le reste, autoriser un flux entre deux applications de part et d'autre, ouvrir une sortie vers une plage d'adresses externes précise, et autoriser un autre namespace par ses labels.
Au programme de ce lab
- Votre mission
- Pas à pas
- Fermer les deux sens
- Rouvrir le DNS, et seulement lui
- Un flux entre deux applications
- Une sortie vers l'extérieur : ipBlock
- Autoriser un autre namespace
- Méthode
Ce que KubeNow vérifie
- Verrouillage : par défaut, rien n'entre et rien ne sort
- Le DNS de kube-system répond à tous les pods, en UDP et en TCP
- Le port 53 n'est ouvert que vers kube-dns
- boutique joint paiement sur le port 9000, et seulement ce port
- paiement sort vers le prestataire 198.51.100.0/24 en 443, et lui seul
- Les pods prometheus de supervision collectent boutique et paiement
- Personne d'autre n'entre