Bảo mật ứng dụng trên Kubernetes: Hệ điều hành mây không dành cho người mộng mơ

"Tưởng deploy xong là xong, ai ngờ có thằng chạy container coin trong cluster mình suốt 3 tháng." — Một DevOps từng mất niềm tin vào loài người

Kubernetes có thể được coi là "hệ điều hành của đám mây". Nó giúp chúng ta điều phối container, cân bằng tải, tự phục hồi, tự động mở rộng... nhưng chính vì sức mạnh đó mà nó cũng trở thành miếng mồi ngon cho hacker.

Điểm đáng lo nhất: Kubernetes không bảo mật mặc định. Nếu bạn không chủ động cấu hình, cluster của bạn sẽ có thể:

• Container chạy quyền root thoải mái như ở nhà
• Người dùng sở hữu quyền cluster-admin để làm "chuyện lớn"
• Secrets lưu trần trụi trong etcd, không mã hóa, không giám sát
• Network mở như ruộng bắp: Pod nào cũng ping được pod khác
• API server mở port lung tung, không kiểm soát IP
• Log thì không bật, audit trail không có, Prometheus báo động không gắn ai vào nhận

• Dev: "Tao chỉ test một tí thôi mà"
• K8s: Cấp quyền root toàn cluster
• Hacker: Cảm ơn nhé, giờ là giờ đào coin

Triển khai ứng dụng trên Kubernetes giúp:

• Dễ dàng mở rộng (scaling)
• Tự động hóa deploy và rollout
• Tăng tính sẵn sàng (HA)

Nhưng... đi kèm với sự tiện lợi đó là nhiều lỗ hổng bảo mật tiềm tàng nếu không có quy trình kiểm soát chuẩn:

K8s không bảo mật mặc định. Muốn an toàn, bạn phải xây dựng hệ sinh thái bảo vệ cho nó — từ CI/CD, image, RBAC, network cho tới logging và runtime protection.

Việc bảo mật trên Kubernetes không chỉ là cài SSL hay dựng firewall, mà là một chuỗi các lớp bảo vệ:

• Từ base image → build pipeline → container → pod
• Đến cluster role → service account → ingress → network
• Và cả audit, logging, monitoring, policy engine

Những sai lầm thường gặp

❌ Chạy container với quyền root

securityContext:
  runAsUser: 0  # Ơ kìa?

Hacker chỉ cần 1 shell là đủ làm chủ node.

❌ Cho app quyền cluster-admin

roleRef:
  kind: ClusterRole
  name: cluster-admin

Dev xin "cho nhanh", xong để nguyên 2 năm 🙃

❌ Không giới hạn traffic nội bộ

Mọi pod ping được nhau → khó kiểm soát lateral movement

❌ Để secrets như để tiền dưới gối

apiVersion: v1
kind: Secret
...base64 encoded password...

Base64 ≠ encryption. Là mã hóa "cho có vẻ chuyên nghiệp".

Những cách bảo vệ cụ thể

✅ Không chạy container với quyền root

securityContext:
  runAsUser: 1000
  runAsGroup: 3000
  allowPrivilegeEscalation: false

✅ Giới hạn quyền truy cập bằng RBAC

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: read-only
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list"]

✅ NetworkPolicy chặn traffic linh tinh

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

✅ Dùng PodSecurityContext và PSP (hoặc PSA từ v1.25+)

securityContext:
  seccompProfile:
    type: RuntimeDefault
  capabilities:
    drop:
      - ALL

✅ Không hardcode secret, dùng external secret manager

• HashiCorp Vault
• AWS Secrets Manager
• Sealed Secrets, External Secrets Operator

Công cụ hỗ trợ bảo mật K8s

Cluster & Node Security

Pod & Container Security

Network Security

Audit & Compliance

Secrets Management

Có thể triển khai ứng dụng của bạn với:

✅ Quét image → Trivy, Dockle

✅ Runtime theo dõi → Falco

✅ Chính sách an toàn → Kyverno hoặc OPA Gatekeeper

✅ Quản lý secrets tốt hơn → Vault hoặc Sealed Secrets

✅ Kiểm tra cụm định kỳ → Kube-Bench, Kubescape, Kube-Hunter

Tổng kết

Kubernetes không phải thần thánh. Nó giống như một ngôi nhà thông minh: bạn phải khóa cửa, hạn chế quyền, giám sát camera và đừng tin ai cả.

"DevOps giỏi không phải là người deploy được 100 microservice. Là người deploy xong mà không ai đào coin giùm."

Nếu bạn thấy hay, hãy để lại bình luận xem team bạn đã từng gặp case nào tương tự nhé! ❤️