Qu'est-ce qu'un pentest Kubernetes ?
Un pentest Kubernetes (test d'intrusion) est une simulation d'attaque réaliste contre votre infrastructure de conteneurs orchestrée par Kubernetes. Contrairement à un audit de conformité qui vérifie des configurations par rapport à un référentiel, le pentest adopte la perspective d'un attaquant réel qui cherche à compromettre votre cluster.
L'objectif est de répondre à la question : « Que peut faire un attaquant qui obtient un accès initial à un pod, un ServiceAccount compromis ou un accès au réseau du cluster ? » Nous simulons les techniques réelles utilisées par les groupes d'attaque ciblant Kubernetes : container escape, vol de tokens ServiceAccount, exploitation de l'API Server, mouvement latéral entre pods, escalade de privilèges RBAC et exfiltration de données.
Notre méthodologie est alignée sur le framework MITRE ATT&CK for Containers, qui catalogue les tactiques, techniques et procédures (TTP) observées dans les compromissions réelles d'environnements Kubernetes. Chaque technique utilisée pendant le pentest est mappée sur ce framework pour une traçabilité complète.
Le pentest Kubernetes se distingue d'un pentest applicatif classique par la profondeur de la chaîne d'attaque. L'accès initial à un pod n'est que le point de départ : la véritable valeur réside dans la capacité à pivoter depuis ce pod vers d'autres workloads, le node sous-jacent, l'API Server et finalement les secrets et données sensibles du cluster entier.
Des pentests K8s aboutissent à un contrôle total du cluster
Temps médian pour un container escape réussi
Des clusters permettent le mouvement latéral
ATT&CK for Containers comme référence
Pentest vs Audit — deux approches complémentaires
Pentest Kubernetes
- ► Perspective attaquant — simulation adversaire réaliste
- ► Exploitation réelle — preuves de compromission (container escape, tokens volés)
- ► Impact démontré — qu'est-ce qu'un attaquant peut réellement faire
- ► MITRE ATT&CK — mapping sur les TTP réels
- ► Black/Gray-box — information limitée au départ
Audit Kubernetes
- ► Perspective conformité — vérification systématique
- ► Contrôles de configuration — CIS Benchmark, NSA/CISA
- ► Couverture exhaustive — 250+ points de contrôle
- ► Score de maturité — pourcentage de conformité
- ► White-box — accès complet à la configuration
MITRE ATT&CK for Containers — notre référence
Initial Access
Exploitation d'applications exposées, credentials compromis, supply chain attack, ingress controller vulnérable.
Execution
Exec dans un container, déploiement de pods malveillants, exploitation de CronJobs, kubectl exec.
Persistence
Backdoor via DaemonSet, mutation webhook, CronJob malveillant, ServiceAccount supplémentaire.
Privilege Escalation
Container escape, RBAC abuse, privileged pods, hostPath mount, node shell access.
Defense Evasion
Pod anonyme, suppression des logs, modification des admission policies, namespace squatting.
Credential Access
Vol de ServiceAccount tokens, secrets Kubernetes, etcd dump, environment variables, ConfigMaps.
Lateral Movement
Pivot inter-pod, exploitation de services internes, abus de Network Policies manquantes, DNS poisoning.
Impact / Exfiltration
Exfiltration de secrets, accès aux bases de données, déni de service, cryptomining, ransomware.