一、默认配置陷阱：敞开的安全大门

典型场景

• 未授权API访问：开启insecure-port（如8080）并绑定0.0.0.0，导致攻击者绕过认证直接操控集群

• kubelet权限失控：配置authorization.mode=AlwaysAllow使匿名用户获得节点控制权
  测试验证方案

# 检查API端口暴露情况
kubectl cluster-info | grep 'insecure'
# 模拟未授权访问攻击
curl -vk http://<node-ip>:8080/api/v1/pods
# 验证kubelet权限（需安装kubeletctl工具）
./kubeletctl --ip <node-ip> scan rce -c "id"

规避措施：启用API Server审计日志并定期扫描非常规端口开放

二、资源黑洞：未设限的容器吞噬节点

灾难案例
某电商平台因未设置Pod资源限制，导致内存泄漏的单个容器耗尽节点资源，引发200+ Pod雪崩式重启
测试关键点

# 错误配置示例（无资源限制）
containers:
- name: web
image: nginx:latest
# 正确配置
resources:
requests:
memory: "256Mi"
cpu: "100m"
limits:
memory: "512Mi"
cpu: "500m"

混沌测试方案：

1. 部署压力测试工具模拟内存泄漏

2. 监控节点OOMKilled事件及自动恢复时间

3. 验证HPA（水平扩缩容）触发阈值准确性

三、存储冲突：多Pod争抢同一磁盘

金融科技事故
StatefulSet配置错误致3个MongoDB Pod共享同一PVC，引发数据覆盖和文件锁冲突，最终导致10万级订单异常
测试防护矩阵

风险点	测试方法	预期结果
存储卷独占性	多Pod同时挂载PVC执行写操作	数据一致性校验无冲突
存储类配置	动态创建PVC验证绑定独立性	各PVC对应独立PV
数据持久化	Pod删除重建后验证数据完整性	数据零丢失

四、权限泛滥：失控的RBAC配置

高危配置清单

graph LR
A[ServiceAccount] -->|绑定| B[cluster-admin]
C[RoleBinding] -->|作用域| D[未限定Namespace]
E[Pod] -->|使用| F[默认SA]

渗透测试路径：

1. 获取容器Shell：kubectl exec -it <pod> -- sh

2. 提取SA令牌：cat /var/run/secrets/kubernetes.io/serviceaccount/token

3. 尝试集群操作：

   curl -k -H "Authorization: Bearer <token>" https://kubernetes/api/v1/namespaces

安全基线：遵循最小权限原则，定期执行kubectl auth can-i --list审计

五、供应链污染：漏洞镜像的连锁反应

典型案例

• Log4j漏洞通过基础镜像传播，影响数百个微服务

• 使用latest标签导致生产环境意外升级
  测试防护体系

+-------------------+
| 镜像仓库扫描 |
| (Trivy/Clair) |
+--------+----------+
|
+------------------+ +------v------+ +----------------+
| 开发环境 | | CI/CD管道 | | 运行时防护 |
| 禁止latest标签 +------->+ 镜像签名验证 +------->+ 行为监控 |
| 漏洞扫描阻断 | | 准入控制 | | (Falco) |
+------------------+ +-------------+ +----------------+

关键测试项：

• 验证镜像签名策略是否强制执行

• 模拟CVE漏洞镜像部署观察拦截效果

• 检查运行时安全工具对恶意进程的检测率

测试工程师的防御矩阵

1. 左移安全测试

   • IaC扫描：在CI阶段检测K8s清单风险（KubeSec、Checkov）

   • 容器构建时扫描：阻断高危镜像进入仓库

2. 混沌工程实践

   # 模拟节点故障
   kubectl drain <node> --ignore-daemonsets
   # 注入网络延迟
   kubectl apply -f network-chaos.yaml

3. 审计日志监控

   • 关键审计事件：

     RequestURI: "/api/v1/namespaces/*/pods"
     Verb: "create|delete|patch"

   • 日志关联分析：ELK+Splunk构建异常操作告警

精选文章

智能测试的并行化策略：加速高质量软件交付

契约测试：破解微服务集成测试困境的利器