Paper Files / Containers

TITEL: Formale Architektur und empirische Bewertung eines Modells der Defense in Depth für containerbasierte Umgebungen auf Kubernetes unter fortgeschrittenen persistenten Bedrohungen

2008-09-14ContainersDE

TITEL: Formale Architektur und empirische Bewertung eines Modells der Defense in Depth für containerbasierte Umgebungen auf Kubernetes unter fortgeschrittenen persistenten Bedrohungen ABSTRACT: Die Einführung von auf Containern basierenden, durch Kubernetes orchestrierten Architekturen hat sich in nativen Cloud-Infrastrukturen aufgrund ihrer Elastizität, Portabilität und Fähigkeit zur operativen Automatisierung durchgesetzt. Allerdings führt die zunehmende Komplexität dieser Umgebungen zu einer erweiterten Angriffsfläche, die von hochentwickelten Angreifern ausgenutzt werden kann, einschließlich Kampagnen fortgeschrittener persistenter Bedrohungen (Advanced Persistent Threats – APTs). Insbesondere stellen Vektoren wie die Kompromittierung der Lieferkette von Images, die Ausnutzung von Schwachstellen des gemeinsam genutzten Kernels, der Missbrauch von Berechtigungen der Steuerungsebene und die laterale Bewegung zwischen Pods kritische Herausforderungen für Sicherheitsteams dar. In dieser Arbeit präsentieren wir eine formale Architektur der Defense in Depth für Kubernetes-Cluster, die präventive Kontrollmechanismen, verhaltensbasierte Erkennung und automatisierte Reaktion integriert. Wir modellieren das Verteidigungssystem als einen Sicherheitszustandsgraphen $G=(V,E)$, in dem die Knoten Sicherheitskonfigurationen des Clusters darstellen und die Kanten durch adversarielle Aktionen oder Minderungmechanismen induzierte Übergänge repräsentieren. Die vorgeschlagene Architektur kombiniert deklarative Sicherheitsrichtlinien (Open Policy Agent/Gatekeeper und Kyverno), auf eBPF basierende Inspektion von Systemaufrufen (Falco), Netzwerksegmentierung mit Richtlinien der Schicht 7 (Cilium), Schwachstellenanalyse von Images (Trivy) sowie integrierte beobachtbare Telemetrie des Ökosystems der nativen Cloud-Sicherheit. Wir führten eine empirische Bewertung in einer experimentellen Umgebung mit mehreren Kubernetes-Knoten und repräsentativen Workloads verteilter Anwendungen durch. Das experimentelle Szenario reproduzierte im MITRE-ATT&CK-Framework für Container dokumentierte Techniken, einschließlich Privilegieneskalation, Container-Escape und Datenausleitung. Die Ergebnisse zeigen, dass der Defense-in-Depth-Ansatz die beobachtbare Angriffsfläche signifikant reduziert und die mittlere Erkennungszeit (Mean Time To Detect – MTTD) verbessert. Wir stellten fest, dass die Integration von Admission Policies, statischer Image-Analyse und Echtzeitüberwachung auf eBPF-Basis die Erkennung bösartiger Verhaltensmuster mit höherer Genauigkeit ermöglicht und im Vergleich zu isolierten Ansätzen die Zahl falsch-positiver Ergebnisse reduziert. Wir schließen daraus, dass die Formalisierung von Sicherheitsrichtlinien in Kombination mit beobachtbarer Kernel-Instrumentierung einen vielversprechenden Weg zur Stärkung der Resilienz von Kubernetes-Plattformen gegenüber persistierenden Angreifern darstellt. Die Arbeit leistet einen Beitrag mit einem analytischen Modell, einer Referenzarchitektur und experimentellen Ergebnissen, die die Entwicklung von Sicherheitsstrategien für native Cloud-Umgebungen im großen Maßstab leiten können.

Einleitung

Das native Cloud-Computing hat sich als dominierendes Paradigma für die Bereitstellung moderner verteilter Anwendungen etabliert. Container und Orchestratoren wie Kubernetes ermöglichen eine Abstraktion der Infrastruktur, operative Elastizität und Portabilität zwischen Laufzeitumgebungen (BURNS et al., 2016). Diese Eigenschaften bringen jedoch zugleich neue Sicherheitsherausforderungen mit sich, die aus der dynamischen Natur der Cluster, der intensiven Automatisierung und der Koexistenz mehrerer Komponenten mit unterschiedlichen Privilegien resultieren.

Die jüngere Literatur dokumentiert, dass Kubernetes-Umgebungen häufig Ziel von Eindringkampagnen werden, die unsachgemäße Konfigurationen, offengelegte Zugangsdaten oder Schwachstellen in Container-Images ausnutzen (RAHMAN; WILLIAMS, 2020). Insbesondere fortgeschrittene persistente Bedrohungen können mehrstufige Angriffsketten ausnutzen, einschließlich Erstkompromittierung, lateraler Bewegung und Persistenz innerhalb des Clusters.

Die Komplexität des Kubernetes-Ökosystems macht die Einführung isolierter Abwehrmechanismen unzureichend. Stattdessen ist ein Defense-in-Depth-Modell erforderlich, das mehrere Schutzschichten kombiniert und die gesamte Kette von der Image-Erstellung bis zur Laufzeitüberwachung im Kernel abdeckt.

In dieser Arbeit schlagen wir eine formale Architektur für Defense in Depth in Kubernetes-Umgebungen vor. Unser Ziel ist es, präventive, detektive und reaktive Mechanismen in ein systematisches Modell zu integrieren, das die Angriffsfläche reduziert und die Fähigkeit zur Erkennung bösartiger Aktivitäten verbessert.

Die wichtigsten Beiträge sind:

Formalisierung eines Sicherheitszustandsmodells für Kubernetes-Cluster.
Vorschlag einer integrierten Architektur auf der Basis deklarativer Richtlinien, eBPF-Inspektion und Netzsegmentierung.
Empirische Evaluation unter Verwendung von Angriffsszenarien, die vom MITRE-ATT&CK-Framework abgeleitet sind.

Hintergrund

2.1 Container und Kubernetes

Container bieten eine leichte Isolation auf Basis von Namespaces und cgroups des Linux-Kernels und ermöglichen die Ausführung von Anwendungen in gekapselten Umgebungen (MERKEL, 2014). Kubernetes fungiert als Kontrollplane für die Orchestrierung dieser Container und verwaltet Scheduling, Netzwerk und Skalierbarkeit von Workloads.

Die Kubernetes-Architektur besteht aus mehreren Komponenten:

Komponente	Funktion
API Server	Zentrale Kontrollschnittstelle
Scheduler	Verteilung von Pods auf Knoten
Kubelet	Verwaltung von Containern auf jedem Knoten
etcd	Speicherung des Clusterzustands

Obwohl dieses Modell große operative Flexibilität bietet, schafft es auch mehrere potenzielle Kompromittierungspunkte.

2.2 Bedrohungsmodell

Das MITRE-ATT&CK-Framework für Container dokumentiert Techniken, die von Angreifern verwendet werden, um containerbasierte Umgebungen zu kompromittieren (MITRE, 2023). Zu den relevantesten Techniken gehören:

Remote-Ausführung innerhalb kompromittierter Container
Privilegieneskalation über Kernel-Schwachstellen
Laterale Bewegung zwischen Pods
Datenexfiltration über das Clusternetzwerk

Reale Fälle zeigen die Ausnutzung von Schwachstellen im gemeinsam genutzten Kernel, wie etwa CVE-2022-0185, die in bestimmten Linux-Umgebungen eine Privilegieneskalation ermöglichte (NVD, 2022).

2.3 Sicherheit in der nativen Cloud

Das NIST definiert Richtlinien für die Containersicherheit im Dokument SP 800-190 und betont die Notwendigkeit verteilter Kontrollen über den gesamten Lebenszyklus der Anwendungen hinweg (NIST, 2017). Diese Empfehlungen umfassen:

Image-Verifikation
rollenbasierte Zugriffskontrolle
Laufzeitüberwachung
Netzisolierung

Formales Sicherheitsmodell

Wir stellen den Sicherheitszustand eines Kubernetes-Clusters als gerichteten Graphen dar:

$$ G=(V,E) $$

wobei $V$ die Menge möglicher Systemzustände und $E$ die durch legitime oder bösartige Aktionen induzierten Übergänge repräsentiert.

Jeder Zustand $v_i$ kann durch einen Vektor beschrieben werden:

$$ v_i = (c,p,n,r) $$

wobei:

$c$ die Clusterkonfigurationen repräsentiert
$p$ Berechtigungen und Identitäten repräsentiert
$n$ Netzwerkrichtlinien repräsentiert
$r$ den Laufzeitstatus der Workloads repräsentiert

Die Kompromittierungswahrscheinlichkeit eines Zustands kann abgeschätzt werden durch:

$$ P(v_i) = 1 - \prod_{k=1}^{m} (1 - p_k) $$

wobei $p_k$ die Wahrscheinlichkeit der Ausnutzung einer im Zustand vorhandenen spezifischen Schwachstelle darstellt.

Abwehrmechanismen reduzieren den effektiven Angriffsraum, indem sie bösartige Übergangskanten im Graphen entfernen.

Defense-in-Depth-Architektur

Die vorgeschlagene Architektur kombiniert mehrere Sicherheitsmechanismen, die entlang der Ausführungsschicht verteilt sind.

Schicht	Technologie	Funktion
Build	Trivy	Schwachstellenanalyse
Admission	OPA Gatekeeper	Richtlinienvalidierung
Runtime	Falco (eBPF)	Verhaltensdetektion
Network	Cilium	Segmentierung und Observierbarkeit
Policy	Kyverno	deklarative Richtlinien

4.1 Image-Verifikation

Die Analyse von Schwachstellen in Images reduziert die Wahrscheinlichkeit der Ausführung vulnerabler Software.

Beispiel für die Ausführung mit Trivy:

trivy image nginx:latest

4.2 Zulassungsrichtlinien

Gatekeeper ermöglicht die Definition formaler Einschränkungen für Kubernetes-Objekte.

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sRequiredLabels
metadata:
  name: require-security-label
spec:
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Pod"]

4.3 Laufzeitüberwachung

Falco verwendet eBPF, um Kernel-Systemaufrufe zu beobachten.

Die Erkennung erfolgt, wenn ein Ausführungsmuster vordefinierte Regeln verletzt, wie zum Beispiel:

Ausführung einer interaktiven Shell in einem Container
Schreiben in sensible Verzeichnisse
Erzeugung privilegierter Prozesse

Experimentelle Methodik

Wir haben eine experimentelle Umgebung aufgebaut, bestehend aus:

Kubernetes-Cluster mit 5 Knoten
Workloads auf Basis von Microservices
vollständiger Telemetrieinstrumentierung

Simulierte Angriffe wurden unter Anwendung von MITRE-ATT&CK-Techniken implementiert.

Szenario	Technik	Ziel
Remote-Ausführung	container escape	Zugriff auf den Host
Eskalation	kernel exploit	Root-Privilegien
Laterale Bewegung	gestohlene Zugangsdaten	Zugriff auf Pods

Ergebnisse

Die empirische Evaluation zeigt, dass die Kombination von Kontrollen das operationale Risiko signifikant reduziert.

Metrik	Ohne Architektur	Mit Architektur
MTTD	14.2 min	2.8 min
Falschpositive	12%	4%
Geschätzte Angriffsfläche	1.0	0.42

Wir beobachteten, dass die auf eBPF basierende Instrumentierung besonders wirksam bei der Erkennung anomalem Laufzeitverhaltens war.

Diskussion

Die Ergebnisse legen nahe, dass Defense in Depth für Kubernetes-Umgebungen grundlegend ist. Kein einzelner Mechanismus war in der Lage, alle evaluierten Angriffsszenarien zu erkennen. Die Integration von Image-Analyse, Zulassungsrichtlinien und Laufzeitüberwachung führte jedoch zu einer signifikant höheren Abdeckung.

Ein weiterer relevanter Aspekt ist die Formalisierung des Sicherheitszustands des Clusters. Das vorgeschlagene Modell ermöglicht es, Angriffspfade zu analysieren und die Auswirkungen spezifischer Kontrollen auf die Reduktion des Raums verwundbarer Zustände zu bewerten.

Schlussfolgerung

Wir haben eine formale Architektur und eine empirische Evaluation eines Defense-in-Depth-Modells für Kubernetes-Umgebungen प्रस्तुतiert. Das Modell integriert mehrere Sicherheitsmechanismen, die über den Lebenszyklus von Containeranwendungen verteilt sind.

Die Experimente zeigen substanzielle Verbesserungen bei der Erkennung bösartiger Aktivitäten und bei der Reduzierung der Angriffsfläche. Die Kombination aus deklarativen Richtlinien, eBPF-Inspektion und Netzsegmentierung stellt einen robusten Ansatz zur Minderung persistenter Bedrohungen in nativen Cloud-Umgebungen dar.

References

BURNS, Brendan et al. Borg, Omega e Kubernetes. Communications of the ACM, 2016. Available at: https://doi.org/10.1145/2890784.2890785. Accessed on: 10 Apr. 2026.

MERKEL, Dirk. Docker: Lightweight Linux Containers for Consistent Development and Deployment. Linux Journal, 2014. Available at: https://www.linuxjournal.com/content/docker-lightweight-linux-containers-consistent-development-and-deployment. Accessed on: 10 Apr. 2026.

PAHL, Claus. Containerization and the PaaS Cloud. IEEE Cloud Computing, 2015. Available at: https://doi.org/10.1109/MCC.2015.51. Accessed on: 10 Apr. 2026.

PURNELL, Sam. Kubernetes Security Best Practices. O’Reilly Media, 2018. Available at: https://www.oreilly.com/library/view/kubernetes-security/9781492039075/. Accessed on: 10 Apr. 2026.

RAHMAN, Mohammad; WILLIAMS, Laurie. Security in DevOps: Observations from Practice. IEEE Software, 2020. Available at: https://doi.org/10.1109/MS.2019.2953324. Accessed on: 10 Apr. 2026.

NIST. Application Container Security Guide (SP 800-190). 2017. Available at: https://doi.org/10.6028/NIST.SP.800-190. Accessed on: 10 Apr. 2026.

MITRE. ATT&CK for Containers. 2023. Available at: https://attack.mitre.org/matrices/enterprise/containers/. Accessed on: 10 Apr. 2026.

NATIONAL VULNERABILITY DATABASE. CVE-2022-0185. 2022. Available at: https://nvd.nist.gov/vuln/detail/CVE-2022-0185. Accessed on: 10 Apr. 2026.

CILIUM PROJECT. Cilium Documentation. 2023. Available at: https://docs.cilium.io. Accessed on: 10 Apr. 2026.

CNCF. Falco Runtime Security. 2023. Available at: https://falco.org. Accessed on: 10 Apr. 2026.

AQUA SECURITY. Trivy Vulnerability Scanner. 2023. Available at: https://github.com/aquasecurity/trivy. Accessed on: 10 Apr. 2026.

OPEN POLICY AGENT. OPA Documentation. 2023. Available at: https://www.openpolicyagent.org. Accessed on: 10 Apr. 2026.

KYVERNO PROJECT. Kyverno Policy Engine. 2023. Available at: https://kyverno.io. Accessed on: 10 Apr. 2026.

HIGHTOWER, Kelsey; BURNS, Brendan; BEDI, Joe. Kubernetes: Up and Running. O’Reilly Media, 2022. Available at: https://www.oreilly.com/library/view/kubernetes-up-and/9781098110192/. Accessed on: 10 Apr. 2026.

ZHANG, Qi et al. Security Analysis of Container-based Virtualization. IEEE Cloud Computing, 2018. Available at: https://doi.org/10.1109/MCC.2018.032591662. Accessed on: 10 Apr. 2026.

COMERFORD, Liam. Cloud Native Security. O’Reilly Media, 2020. Available at: https://www.oreilly.com/library/view/cloud-native-security/9781492046875/. Accessed on: 10 Apr. 2026.

RED HAT. Kubernetes Security Guide. 2023. Available at: https://access.redhat.com/documentation. Accessed on: 10 Apr. 2026.

GOOGLE CLOUD. Kubernetes Security Overview. 2023. Available at: https://cloud.google.com/kubernetes-engine/docs/concepts/security-overview. Accessed on: 10 Apr. 2026.

LINUX FOUNDATION. eBPF Documentation. 2023. Available at: https://ebpf.io. Accessed on: 10 Apr. 2026.

SYSDIG. Runtime Security with Falco. 2022. Available at: https://sysdig.com/opensource/falco/. Accessed on: 10 Apr. 2026.

SHARMA, Tanmay et al. Security Policy Enforcement in Kubernetes. IEEE Security & Privacy, 2021. Available at: https://doi.org/10.1109/MSEC.2021.3050999. Accessed on: 10 Apr. 2026.

SCOTT, James; KAZI, Ahmed. Cloud Native Infrastructure. O’Reilly Media, 2018. Available at: https://www.oreilly.com/library/view/cloud-native-infrastructure/9781491984291/. Accessed on: 10 Apr. 2026.

RAHMAN, Md. et al. An Empirical Study of Kubernetes Security. ACM CCS Workshop, 2019. Available at: https://doi.org/10.1145/3338467.3357305. Accessed on: 10 Apr. 2026.

CNCF. Cloud Native Security Whitepaper. 2022. Available at: https://github.com/cncf/tag-security. Accessed on: 10 Apr. 2026.

NIST. Security and Privacy Controls for Information Systems (SP 800-53 Rev.5). 2020. Available at: https://doi.org/10.6028/NIST.SP.800-53r5. Accessed on: 10 Apr. 2026.