C-17
🚷 K8s API 서버 익명 접근
클라우드/컨테이너 · 컨테이너
위험도: 상💡 쉽게 말하면
API 서버 익명 접근은 관제실 문을 잠그지 않은 것과 같습니다. 아무나 들어와 클러스터를 조종합니다. 익명 차단과 RBAC는 관제실에 신분증 검사를 세웁니다.
API 서버 익명 접근은 관제실 문을 잠그지 않은 것과 같습니다. 아무나 들어와 클러스터를 조종합니다. 익명 차단과 RBAC는 관제실에 신분증 검사를 세웁니다.
🎯 직접 해보기 — 공격을 실행해 보세요
아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.
# 인증 없이 K8s API 서버를 익명으로 조회한다
# [공격 실행] 버튼을 누르면 시작합니다.
📋 설정 비교 (왜 막혔나?)
✗ 취약한 설정
# 익명 접근 테스트
$ curl -k https://api:6443/api/v1/pods
200 OK (익명 조회 성공)
→ 비인가 클러스터 접근
✓ 안전한 설정
# 익명 차단
$ --anonymous-auth=false + RBAC
401 Unauthorized
→ 인증 강제
🔧 조치 방법
--anonymous-auth=false로 익명 접근을 차단합니다.- API 서버를 인터넷에 노출하지 않고 접근 IP를 제한합니다.
✅ 점검 체크리스트
- API 서버 익명 접근이 차단됨
- API 서버 접근이 제한됨
점검기준: 컨테이너 보안 > K8s API 접근