1 min de lectura<\/p>\n
Kubernetes se ha convertido en el est\u00e1ndar de facto para la orquestaci\u00f3n de contenedores. Sin embargo, la complejidad del sistema genera una superficie de ataque enorme: pol\u00edticas RBAC mal configuradas, servidores API expuestos y contenedores con privilegios elevados son, en entornos productivos, m\u00e1s bien la regla que la excepci\u00f3n. Siete errores que se pueden corregir de inmediato.<\/strong><\/p>\n Error 1: Servidor API accesible p\u00fablicamente.<\/strong> El servidor API de Kubernetes es el cerebro del cl\u00faster. Quien tenga acceso a \u00e9l, controla todo el sistema. No obstante, herramientas de escaneo como Shodan detectan cientos de miles de servidores API accesibles p\u00fablicamente. Soluci\u00f3n: hacer que el servidor API sea accesible \u00fanicamente mediante VPN o mediante un punto final privado.<\/p>\n Error 2: Roles RBAC con exceso de privilegios.<\/strong> Asignar el rol cluster-admin<\/em> a todos los desarrolladores porque \u00abes m\u00e1s sencillo\u00bb. El principio del m\u00ednimo privilegio suele ignorarse en Kubernetes. Soluci\u00f3n: utilizar Roles<\/em> espec\u00edficos por espacio de nombres (Namespace<\/em>) en lugar de ClusterRoles<\/em>, y realizar auditor\u00edas RBAC peri\u00f3dicas con herramientas como rbac-police<\/em> o kubectl-who-can<\/em>.<\/p>\n Error 3: Contenedores con privilegios elevados.<\/strong> Los contenedores que se ejecutan como root<\/em> o que tienen activada la bandera privileged<\/em> pueden escapar al sistema anfitri\u00f3n (host<\/em>). Un container escape<\/em> otorga al atacante acceso completo al nodo correspondiente. Soluci\u00f3n: utilizar SecurityContext<\/em> con las opciones runAsNonRoot<\/em>, readOnlyRootFilesystem<\/em> y desactivar todas las capacidades de Linux (Linux Capabilities<\/em>).<\/p>\n Error 4: Ausencia de pol\u00edticas de red (Network Policies<\/em>).<\/strong> Sin pol\u00edticas de red, cualquier pod<\/em> puede comunicarse con cualquier otro pod<\/em>. El movimiento lateral (Lateral Movement<\/em>) dentro del cl\u00faster resulta trivial. Soluci\u00f3n: aplicar una pol\u00edtica Default-Deny<\/em> en todos los espacios de nombres (Namespaces<\/em>), y definir expl\u00edcitamente reglas Allow<\/em> \u00fanicamente para las comunicaciones necesarias.<\/p>\n Error 5: Secretos codificados en Base64 en etcd.<\/strong> Los Secrets<\/em> de Kubernetes solo est\u00e1n codificados en Base64, no cifrados. Cualquiera con acceso a etcd<\/em> puede leer todos los secretos en texto plano. Soluci\u00f3n: activar el cifrado en reposo (Encryption at Rest<\/em>) para etcd<\/em>, o utilizar soluciones externas de gesti\u00f3n de secretos (Vault, AWS Secrets Manager, Azure Key Vault).<\/p>\n Error 6: Im\u00e1genes de contenedores obsoletas.<\/strong> Im\u00e1genes que contienen vulnerabilidades CVE conocidas permanecen en producci\u00f3n durante meses, porque nadie las somete a an\u00e1lisis. Soluci\u00f3n: integrar el escaneo de im\u00e1genes en la canalizaci\u00f3n CI\/CD (Trivy<\/em>, Snyk Container<\/em>) y emplear controladores de admisi\u00f3n (Admission Controller<\/em>) como OPA Gatekeeper<\/em> o Kyverno<\/em>, que bloqueen las im\u00e1genes inseguras.<\/p>\n Error 7: Ausencia de est\u00e1ndares de seguridad para pods<\/em> y controladores de admisi\u00f3n.<\/strong> Desde Kubernetes 1.25, los Pod Security Standards<\/em> (PSS) son el sucesor oficial de PodSecurityPolicy<\/em>. Existen tres niveles: Privileged<\/em> (todo permitido), Baseline<\/em> (se bloquean vectores de escalada conocidos) y Restricted<\/em> (mejores pr\u00e1cticas). Muchos cl\u00fasteres siguen operando sin ninguna restricci\u00f3n.<\/p>\n Soluci\u00f3n: activar los PSS en modo \u00abWarn\u00bb<\/em>, identificar y corregir las infracciones, y posteriormente cambiar al modo \u00abEnforce\u00bb<\/em>. Para pol\u00edticas m\u00e1s complejas: utilizar OPA Gatekeeper<\/em> o Kyverno<\/em> como controladores de admisi\u00f3n.<\/p>\n Servidores API expuestos:<\/strong> m\u00e1s de 380.000 accesibles p\u00fablicamente (Shadowserver Foundation)<\/p>\n Incidentes de seguridad:<\/strong> el 67 % de los usuarios de Kubernetes sufrieron un incidente (Red Hat 2024)<\/p>\n Vulnerabilidades en im\u00e1genes:<\/strong> en promedio, 72 CVE conocidos por imagen de contenedor (Sysdig 2024)<\/p>\n Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n Herramientas: kube-bench<\/em> (comprobaci\u00f3n del CIS Benchmark<\/em>), kubescape<\/em> (gu\u00eda de endurecimiento de la NSA\/CISA), Trivy<\/em> (scanning<\/em> de im\u00e1genes y configuraciones), rbac-police<\/em> (auditor\u00eda RBAC). Todas son de c\u00f3digo abierto y est\u00e1n listas para usar en cuesti\u00f3n de minutos.<\/p>\n<\/details>\n Un Kubernetes gestionado reduce la superficie de ataque del plano de control (Control Plane<\/em>), pero la configuraci\u00f3n de las cargas de trabajo (Workload Configuration<\/em>) – RBAC, pol\u00edticas de red, seguridad de pods<\/em> – sigue siendo responsabilidad del usuario. La mayor\u00eda de los errores mencionados afectan precisamente a este \u00e1mbito.<\/p>\n<\/details>\n Aplicar pol\u00edticas de red con Default-Deny<\/em>. En la mayor\u00eda de los cl\u00fasteres, la comunicaci\u00f3n entre pods<\/em> est\u00e1 completamente desbloqueada. Una \u00fanica pol\u00edtica Default-Deny<\/em> por espacio de nombres bloquea de inmediato el movimiento lateral, con un esfuerzo m\u00ednimo.<\/p>\n<\/details>\n M\u00e1s contenido de la red MBF Media<\/p>\nEn resumen<\/h2>\n
\n
1-2: Exposici\u00f3n del servidor API y ausencia de RBAC<\/h2>\n
3-4: Contenedores con privilegios elevados y ausencia de pol\u00edticas de red<\/h2>\n
5-6: Secretos en texto plano e im\u00e1genes obsoletas<\/h2>\n
7: Ausencia de est\u00e1ndares de seguridad para pods<\/em><\/h2>\n
Datos clave<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfC\u00f3mo puedo comprobar mi cl\u00faster en busca de configuraciones err\u00f3neas?<\/strong><\/summary>\n
\u00bfEs suficiente un Kubernetes gestionado (EKS, AKS, GKE)?<\/strong><\/summary>\n
\u00bfCu\u00e1l es la mejora r\u00e1pida m\u00e1s efectiva?<\/strong><\/summary>\n
Art\u00edculos relacionados<\/h2>\n
\n