Модель метаданих оркестрації для виявлення атак у контейнеризованих середовищах Kubernetes

Анотація

Мета статті полягає у формалізації моделі події контейнеризованого застосунку, розширеної метаданими оркестрації Kubernetes, та побудові матриці відповідності цієї моделі десяти категоріям ризиків Open Web Application Security Project Kubernetes Top 10 (редакція 2025 року), побудованої за формалізованим протоколом кодування. Актуальність дослідження зумовлена тим, що традиційні системи виявлення вторгнень, побудовані на аналізі лише потоку системних викликів, не враховують оркестраційний контекст Kubernetes - приналежність до простору імен, роль у моделі керування доступом на основі ролей, профіль безпеки поду, мережеву політику, фазу життєвого циклу та зв'язок із хмарною ідентичністю, - унаслідок чого однакові системні виклики отримують різну оцінку ризику залежно від контексту. Наукова новизна полягає у типізованому формальному визначенні структури події, яка складається з часової мітки, запису системного виклику, стабільного ідентифікатора сутності та кортежу метаданих оркестрації, з двоетапною функцією зв'язування та явною семантикою відсутніх або застарілих значень метаданих, а також у матриці відповідності шести типів оркестраційних метаданих десяти категоріям ризиків за трирівневою шкалою необхідності (необхідно, корисно, не потрібно), побудованій за явним і задокументованим протоколом кодування. Предметом дослідження є взаємозв'язок між типами оркестраційних метаданих і контекстною спостережуваністю категорій ризиків контейнеризованих середовищ на рівні події процесу. Методи дослідження включають формалізацію, структурний аналіз офіційних описів категорій ризиків та жадібний алгоритм визначення пріоритетності впровадження типів метаданих із повним детермінованим правилом розв'язання нічиїх. Отримані результати показують, що профіль безпеки та монтування ідентичності поду є найбільш універсальним типом метаданих, необхідним для трьох категорій ризику, тоді як три категорії - надмірно відкриті компоненти платформи, помилково налаштовані та вразливі компоненти кластера й недостатнє журналювання та моніторинг - структурно не покриваються жодним із розглянутих типів метаданих на рівні події процесу, що окреслює межу застосовності моделі. Жадібний алгоритм визначив порядок впровадження метаданих, що забезпечує повне необхідне метадане покриття семи контекстно спостережуваних категорій ризику в межах визначеної моделі вже після чотирьох кроків. Дослідження має аналітично-формалізований, а не емпіричний характер, що окреслено як його обмеження та напрям подальшої роботи.