Финансовый риск
До 500 000 рублей в час ввиду парализации внутренних интеграций и сбоя в работе мобильных приложений. Риск каскадного отказа всех связанных сервисов предприятия.
Влияние на KPI
Недоступность мобильного приложения для клиентов. Рост процента ошибок API (5xx). Снижение LTV и удовлетворенности пользователей из-за медленной работы интерфейсов.
Уровень критичности
Высокий
Кому поручить
Backend-разработчик / Архитектор API / DevOps-инженер
Kubernetes по умолчанию не безопасен. Кластер из коробки — это открытые порты, pods без ограничений и плоская сеть без сегментации.
Топ-5 уязвимостей K8s
- Открытый API Server — доступ без аутентификации
- Privileged containers — root внутри pod = root на ноде
- Отсутствие Network Policies — любой pod видит любой pod
- Secrets в plain text — base64 это не шифрование
- Устаревшие образы — известные CVE в production
Network Policies: сегментация на уровне подов
Без Network Policies сеть K8s — как офис без стен. Любой compromised pod может сканировать весь кластер.
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: deny-all-ingress
spec:
podSelector: {}
policyTypes:
- IngressЗащита Ingress от DDoS
Rate limiting на уровне Ingress Controller (nginx-ingress, Traefik). WAF перед кластером (ModSecurity, Cloudflare). HPA для auto-scaling при spike нагрузки.
RBAC: минимум привилегий
Каждый ServiceAccount — только те права, которые реально нужны. Никаких cluster-admin для приложений. Audit logs для всех действий.
Runtime Security
Falco — обнаружение аномалий в runtime. OPA/Gatekeeper — policy enforcement. Trivy, Anchore — сканирование образов.
Kubernetes security — это не продукт, а процесс. Постоянный мониторинг, обновления, аудит.
Скопируйте эти вопросы и отправьте вашему техническому директору (CTO) или руководителю разработки:
- Внедрен ли паттерн Circuit Breaker для изоляции упавших сервисов и сохранения стабильности остальной системы?
- Лимитируются ли запросы к API по токенам авторизации (JWT) на уровне Ingress/API Gateway?
- Ограничена ли глубина и сложность запросов в GraphQL для защиты от атак на исчерпание памяти?
Словарь по теме
Rate Limiting
Ограничение количества запросов с одного IP-адреса за определённый период времени. Первая линия защиты от ботов, брутфорса и простых DDoS-атак.
Auto-scaling
Автоматическое добавление серверов при росте нагрузки и удаление при снижении. Ключевая возможность для противодействия DDoS.
ModSecurity
Open-source WAF для Apache и nginx. Фильтрует вредоносные запросы по правилам OWASP Core Rule Set.
Kubernetes
Платформа оркестрации контейнеров. Автоматически масштабирует, восстанавливает и распределяет приложения.
Cloudflare
Популярный сервис CDN и защиты от DDoS. Бесплатный план включает базовую защиту, SSL, и ускорение загрузки через глобальную сеть из 300+ дата-центров.
nginx
Популярный веб-сервер и reverse proxy. Используется для раздачи статики, балансировки нагрузки, терминации SSL.
DDoS
Распределённая атака на отказ в обслуживании. Множество устройств одновременно отправляют запросы на сервер, перегружая его и делая недоступным для легитимных пользователей.
WAF
Web Application Firewall — межсетевой экран для веб-приложений. Фильтрует HTTP-трафик, блокирует SQL-инъекции, XSS, и другие атаки на прикладном уровне.