Java K8s安全案例

本文目录导读：

1. 敏感信息泄露案例
2. 权限提升攻击案例
3. 网络策略攻击案例
4. 容器逃逸案例
5. Java应用级别安全
6. RBAC权限控制案例

我来为您介绍几个Java应用在Kubernetes环境中的安全案例,涵盖常见的安全问题和解决方案。

敏感信息泄露案例

问题场景

// 不安全的方式：在代码中硬编码数据库密码
@Configuration
public class DatabaseConfig {
    @Bean
    public DataSource dataSource() {
        return DataSourceBuilder.create()
            .url("jdbc:mysql://localhost:3306/mydb")
            .username("admin")
            .password("password123")  // 敏感信息硬编码
            .build();
    }
}

安全解决方案

# Kubernetes Secret 配置
apiVersion: v1
kind: Secret
metadata:
  name: db-secret
type: Opaque
data:
  db-password: cGFzc3dvcmQxMjM=  # base64编码

// 安全的方式：从环境变量或Secret读取
@Configuration
public class SecureDatabaseConfig {
    @Value("${DB_PASSWORD}")
    private String dbPassword;
    @Bean
    public DataSource dataSource() {
        return DataSourceBuilder.create()
            .url("jdbc:mysql://localhost:3306/mydb")
            .username("admin")
            .password(dbPassword)
            .build();
    }
}

权限提升攻击案例

问题场景

# 不安全的 Pod 配置 - 使用root用户运行
apiVersion: v1
kind: Pod
metadata:
  name: insecure-app
spec:
  containers:
  - name: app
    image: my-java-app:latest
    securityContext:
      runAsUser: 0  # root用户
      privileged: true  # 特权模式

安全配置

# 安全的 Pod 配置
apiVersion: v1
kind: Pod
metadata:
  name: secure-app
spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
    runAsGroup: 3000
    fsGroup: 2000
  containers:
  - name: app
    image: my-java-app:latest
    securityContext:
      allowPrivilegeEscalation: false
      capabilities:
        drop:
        - ALL
      readOnlyRootFilesystem: true

网络策略攻击案例

问题场景

# 没有网络策略限制 - 所有Pod可以互相通信
apiVersion: v1
kind: Pod
metadata:
  name: database-pod
  labels:
    app: database
spec:
  containers:
  - name: mysql
    image: mysql:8.0

安全网络策略

# 实施网络隔离
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: database-network-policy
spec:
  podSelector:
    matchLabels:
      app: database
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: backend-service
    ports:
    - protocol: TCP
      port: 3306
  egress:
  - to:
    - podSelector:
        matchLabels:
          app: backend-service
    ports:
    - protocol: TCP
      port: 8080

容器逃逸案例

不安全的配置

# 允许挂载宿主机敏感目录
apiVersion: v1
kind: Pod
spec:
  containers:
  - name: app
    volumeMounts:
    - mountPath: /host
      name: host-volume
  volumes:
  - name: host-volume
    hostPath:
      path: /  # 挂载整个宿主机文件系统

安全配置

# 最小权限挂载
apiVersion: v1
kind: Pod
spec:
  containers:
  - name: app
    volumeMounts:
    - mountPath: /data
      name: app-data
  volumes:
  - name: app-data
    persistentVolumeClaim:
      claimName: app-pvc  # 使用PVC而非直接挂载宿主机
  securityContext:
    seccompProfile:
      type: RuntimeDefault

Java应用级别安全

依赖漏洞修复

<!-- 使用OWASP插件检查依赖 -->
<plugin>
    <groupId>org.owasp</groupId>
    <artifactId>dependency-check-maven</artifactId>
    <version>8.0.1</version>
    <configuration>
        <failBuildOnCVSS>7</failBuildOnCVSS>
        <suppressionFiles>
            <suppressionFile>dependency-suppression.xml</suppressionFile>
        </suppressionFiles>
    </configuration>
</plugin>

安全日志配置

// 防止日志注入
public class SecurityLogger {
    private static final Logger logger = LoggerFactory.getLogger(SecurityLogger.class);
    public void logUserAction(String username, String action) {
        // 清理敏感字符
        String safeUsername = sanitizeForLog(username);
        String safeAction = sanitizeForLog(action);
        logger.info("User: {} performed action: {}", safeUsername, safeAction);
    }
    private String sanitizeForLog(String input) {
        if (input == null) return "null";
        // 移除换行符和CRLF注入
        return input.replaceAll("[\r\n]", "_");
    }
}

RBAC权限控制案例

最小权限原则

# 创建特定权限的ServiceAccount
apiVersion: v1
kind: ServiceAccount
metadata:
  name: app-service-account
  namespace: production
---
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: production
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods", "pods/log"]
  verbs: ["get", "list", "watch"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-pods
  namespace: production
subjects:
- kind: ServiceAccount
  name: app-service-account
  namespace: production
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io

1. 镜像安全

   • 定期扫描镜像漏洞（Trivy, Clair）
   • 使用最小基础镜像（Alpine, Distroless）
   • 不将敏感信息构建到镜像中

2. 运行时安全

   • 实施Pod安全策略（PSP/PSS）
   • 启用Seccomp和AppArmor
   • 限制资源使用（CPU/内存限制）

3. 网络安全

   • 实施网络策略
   • 使用服务网格（Istio/Linkerd）
   • 加密服务间通信（mTLS）

4. 监控与审计

   • 启用审计日志
   • 实施入侵检测（Falco）
   • 定期安全评估

这些案例展示了Java应用在K8s环境中常见的攻击面和对应的防护措施，实际生产环境中,应该根据具体需求组合使用这些安全策略。