书籍摘要

核心定位

《Hacking Kubernetes: Threat-Driven Analysis and Defense》是一本面向已有 Kubernetes 经验读者的安全实践书。它不从基础概念教起，而是以“攻击者会怎样进入、横向移动和扩大影响”为主线，帮助 DevOps、平台工程师、SRE、云原生架构师和安全负责人评估并加固集群。

内容主线

全书从默认安装的 Kubernetes 出发，先建立威胁建模方法，再逐步检查 Pod、容器运行时、供应链、网络、存储、多租户、策略、入侵检测和组织流程。作者强调安全不是单点工具，而是围绕架构、默认配置、历史 CVE、真实攻击路径与防御控制不断校验的工程过程。

章节内容

第一章以虚构的 BCTL 集群和 Captain Hashjack 攻击者为线索，介绍威胁参与者、数据流图、攻击树以及 Kubernetes 威胁建模的基本方法。

第二章聚焦 Pod 级资源，讨论 RCE、反向 shell、容器镜像、namespace、capabilities、kubelet、API server 与 etcd 等边界，说明一个被攻陷的 Pod 如何成为进一步入侵的起点。

第三章深入容器运行时隔离，关注沙箱、内核隔离和容器逃逸相关风险。

第四章转向应用与供应链，讨论恶意镜像、依赖漏洞、构建与交付链路中的攻击面，以及检测和缓解思路。

第五章到第六章分别处理网络与存储安全，包括集群和工作负载流量、加密、网络默认值、文件系统、卷、Secrets 与静态敏感数据。

第七章到第十章覆盖硬多租户、Policy、RBAC、Open Policy Agent、入侵检测，以及云端和本地环境中的组织协作与人的因素。

适用读者

适合已经理解容器、Kubernetes 基本对象和常见安全概念的读者，尤其是需要保护生产集群的人。不适合作为 Kubernetes 入门书；如果还不熟悉 Pod、Deployment、网络、存储和 RBAC，阅读前最好先补足基础。

总评

这本书的价值在于把 Kubernetes 安全放进威胁驱动的实战语境中：既讲组件如何被攻击，也讲应如何配置、检测和组织防御。它比单纯的加固清单更有判断力，适合用来训练平台团队的安全思维，并作为审视现有集群风险的系统化参考。