Kubernetes Dashboard görünürlüğü küme erişimini kanıtlamaz

Kubernetes Dashboard'u internette bulabilmen, o kümeye erişebileceğin anlamına gelmez. Birçok güvenlik taraması bu farkı kaçırıyor ve "Dashboard bulundu = risk" diye işaretliyor. Oysa işler daha karmaşık.

Dashboard'un erişime açılması birkaç yolla olabilir: port-forward, ingress ya da yönetim tüneli üzerinden. Ama bu, kimlik doğrulamanın olmadığı anlamına gelmez. Helm kurulumunda ve Bearer Token girişinde Kubernetes, Dashboard'u kendi RBAC sistemine bağlı tutar. Token'ın hangi Kubernetes kimliğine sahip olduğu ve o kimliğin hangi izinleri vardır, Dashboard'un ne yapabileceğini belirler.

Gerçek tehdit başka yerde yatıyor. Eğer küme zayıf token'lar kabul ediyorsa, servis hesabı token'ları geniş çapta paylaşılıyorsa ya da anonim rol izin veriyorsa, o zaman Dashboard'un herkese açık olması sorun olur. Ama sadece giriş sayfasını görmek, bu açıklıkların var olduğunu göstermez.

Sorrel Thorncroft'un analizi, güvenlik değerlendirmesinde bu ayrımı yapmanın neden önemli olduğunu açıklıyor. Binlerce Dashboard bulunduğunu söyleyen tarama raporları, çoğunun gerçekten erişilebilir olmadığını göz ardı ediyor. Asıl kontrol etmen gereken şey, o token'ın ne yapabildiği.