Kubernetes olay analizi, konteynerleri yöneten bir Kubernetes kümesinde yaşanan bir güvenlik ihlalini; API sunucusu denetim günlükleri, konteyner davranışı ve kümenin o anki durumu üzerinden inceleyerek saldırının nasıl gerçekleştiğini ortaya koyma sürecidir. Bu analizi geleneksel sunucu incelemesinden ayıran şey, kanıtın büyük kısmının kalıcı bir diskte değil, kısa ömürlü ve sürekli yeniden oluşturulan bileşenlerde bulunmasıdır.

Kubernetes olay analizi, saniyeler içinde doğup ölen konteynerlerden geriye kalan izleri, kaybolmadan önce bir araya getirme yarışıdır.

Efemeral Yapının Getirdiği Zorluk

Bir Kubernetes pod’u ele geçirilip yeniden başlatıldığında veya küme onu başka bir düğüme taşıdığında, konteynerin dosya sistemi ve bellek içeriği çoğu zaman geri dönülmez biçimde kaybolur. Bu “efemeral” doğa, saldırganın bıraktığı izlerin dakikalar içinde silinebileceği anlamına gelir. Bu yüzden analizin kalıcı kanıt kaynaklarına yaslanması gerekir; bunların başında, kümedeki her API çağrısını kimin, ne zaman ve hangi kaynağa yaptığını kaydeden API sunucusu denetim günlükleri gelir.

İncelenen Başlıca Kanıt Katmanları

Bir küme olayında analist, birbirini tamamlayan birkaç kaynağı sırayla tarar:

• API denetim günlükleri: Yetkisiz kaynak oluşturma, gizli anahtar (secret) okuma veya rol atama gibi kritik çağrıların zaman damgalı kaydı.
• Konteyner ve düğüm günlükleri: Uygulamanın ve altında çalışan container runtime’ın ürettiği çıktı; komut çalıştırma ve ağ bağlantısı izleri.
• Küme durumu: O anki pod’lar, çalışan imajlar, ağ politikaları ve RBAC yetkileri; saldırganın kalıcılık için bıraktığı değişiklikler burada görünür.
• Kayıt (registry) ve imaj kanıtı: Kümeye çekilen zararlı veya değiştirilmiş konteyner imajlarının izleri.

Sık Görülen Saldırı Yolu

Kubernetes olaylarının önemli bir kısmı yetki yönetiminin zaafından beslenir. Saldırgan tek bir açık pod’a sızdıktan sonra, çoğu zaman aşırı geniş tanımlanmış rollerden yararlanarak küme genelinde denetimi ele geçirmeye çalışır; bu ilerleme Kubernetes RBAC yetki yükseltme olarak bilinir ve denetim günlüklerinde ardışık rol-atama ve gizli-okuma çağrıları olarak iz bırakır. Analistin görevi bu çağrı zincirini kronolojik olarak yeniden kurup ilk giriş noktasına kadar geri izlemektir.

Analizden Sağlamlaştırmaya

Bir küme olayının incelenmesi, aynı zamanda kümenin nasıl sağlamlaştırılacağına dair somut bir yol haritası üretir; bu yönüyle çalışma yalnızca geçmişi açıklamakla kalmaz, Kubernetes güvenliği duruşunu da yeniden şekillendirir. Elde edilen bulgular; en az yetki ilkesine göre yeniden düzenlenen RBAC kuralları, sıkılaştırılan ağ politikaları ve genişletilen denetim kaydına dönüşür. Böyle bir vaka, DFIR adli analiz ve olay müdahalesi disiplininin bulut-yerel altyapılara uyarlanmış hâlidir ve Privia Security’nin adli analiz ekibi bu tür konteyner ortamlarını efemeral kanıtı koruyacak bir yöntemle inceler.