🔍 EKS взломали. Где искать следы?

Первый порыв - удалить подозрительный pod. Но вместе с ним можно потерять состояние процессов и изменения файловой системы, которые помогут разобраться в атаке.

Synacktiv выпустили практический разбор расследований в Amazon EKS. Главная мысль: готовиться к расследованию нужно до инцидента.

Что пригодится DevOps-инженеру:

🔹 Kubernetes audit logs - кто создавал pod’ы, менял RBAC и с каких IP приходил. Экспорт логов control plane в CloudWatch по умолчанию выключен.

🔹 Container Insights - централизованные логи контейнеров, kubelet и ОС рабочих узлов.

🔹 CloudTrail - проверка, не использовал ли атакующий украденную IAM-роль за пределами кластера.

🔹 GuardDuty - отправная точка расследования. Алерт нужно проверять: привилегированные контейнеры бывают и у штатных инфраструктурных компонентов.

⚠️ Сетевая изоляция не обезвредит уже украденные credentials. Их отзыв требует отдельного внимания.

Практический вывод: проверьте сбор логов и сроки хранения сейчас. После перезапуска pod’а включать наблюдаемость может быть поздно.

Разбор Synacktiv с примерами запросов CloudWatch Logs Insights https://www.synacktiv.com/en/publications/aws-eks-forensics-data-sources-and-investigation-tooling

#DevOps #Kubernetes #AWS #EKS #DevSecOps #Security

Подпишись 👉 @i_DevOps