AWS Community Fest Peru 2025: De attacker a defender, Pentesting en Kubernetes con AWS Security Services

Exploramos una travesía práctica que transforma al pentester en defensor: realizaremos ataques controlados a un clúster Kubernetes desplegado en AWS EKS y veremos en tiempo real los servicios como GuardDuty, Inspector, Detective, ECR y Security Hub detectan, alertan e incluso investigan vulnerabilidades, todo mientras compartimos aprendizajes clave sobre hardening y prácticas seguras.

1. De Attacker a Defender: Pentesting en Kubernetes con AWS Security Services Mario Inga AWS C o mmunity Builder AWS Community Fest Perú 2025

2. ¿ Quién Soy? Mario Inga Aws Community Builder DevOps Institute Ambassador Software Engineer Security fan Homelab Metal \m/ 🤓

3. AGENDA Anécdota Demo Preguntas 03 02 01

4. - Curso de Pentesting - Curso de K8s Security - Intro a Auditoría de Sistemas - Hardening de Servers - Cómo hackear FB, ni ninguna red social de tu ex / actual / tiniebla (o). Esta charla SI ES una anécdota . Disclaimer: esta charla NO es

5. 1. Migrar un Project hacia Containers. Creamos un EKS cluster y todo funcionaba bien. Anécdota

6. 2. SRE team sobre la complejidad de seguridad en K8s: - Cluster & Nodos - Network - Deploy Apps (Image & Configs) - Runtime de Apps - Identidad & Accesos (RBAC) - Data protection Anécdota

7. 3. SRE team esperando que las Apps no tengan bugs de seguridad . Anécdota

8. 1. La calidad depende “solo” de QA? 2. Y la seguridad “solo” del Security team? 🤔 Pero: Y si involucramos al equipo Dev? 🤓 Reflexión

9. 4. Vulnerabilidades mas comunes , OWASP Web top ten Anécdota

10. 4. Vulnerabilidades mas comunes , OWASP Kubernetes top ten Anécdota

11. 5. Enseñamos lo básico , tipos de Pentesting Anécdota

12. 5. Enseñamos lo básico , fases de Pentesting (attacker) Anécdota

13. Ya saben la teoría : 1. OWASP Web & Kubernetes Top Ten ✅ 2. Pentesting , tipos y fases ✅ Pero: - Será suficiente o necesitan donde practicar ? 🤔 Reflexión

14. Muro de la confusión

15. 6. Un kubernetes vulnerable a propósito para practicar . Anécdota

16. Interactive Kubernetes Security Learning Playground 🚀 Kubernetes Goat

17. - Sensitive keys in codebases - DIND (docker-in-docker) exploitation - SSRF in the Kubernetes (K8S) world - Container escape to the host system - Docker CIS benchmarks analysis - Kubernetes CIS benchmarks analysis - Attacking private registry - NodePort exposed services - Analyzing crypto miner container - Kubernetes namespaces bypass - Gaining environment information - DoS the Memory/CPU resources Kubernetes Goat: escenarios - Hacker container preview - Hidden in layers - RBAC least privileges misconfiguration - KubeAudit - Audit Kubernetes clusters - Falco - Runtime security monitoring & detection - Popeye - A Kubernetes cluster sanitizer - Secure Network Boundaries using NSP - Cilium Tetragon - eBPF -based Security - Observability and Runtime Enforcement - Securing Kubernetes Clusters using Kyverno Policy Engine

18. Ya saben la teoría : 1. OWASP Web & Kubernetes Top Ten ✅ 2. Pentesting , tipos y fases ✅ 3. Practicar en entornos controlados ✅ Pero: - Y si mientras ellos practican , nosotros también aprendemos ? 🤔 Reflexión

19. 7. Activar : GuarDuty + Detective + Inspector + Security Hub Anécdota

20. - Detección de amenazas , usa ML e inteligencia de amenazas ( ips maliciosas , dominios sospechosos , etc ) - Genera “findings” ( alertas de posible actividad sospechosa ) - Analiza logs: VPC flow, Cloudtrail , DNS logs, EKS audit logs, etc. Ejem : Un container con root level access fue lanzado en un EKS. AWS GuardDuty

21. AWS GuarDuty

22. - Análisis de incidentes . Datos correlacionados de fuentes como : Cloudtrail , GuardDuty (findings) e Inspector. - Investigar e identificar la “ root cause ”. - Genera grafo de relaciones entre: usuarios , roles, instancias , IPs y actividades . Ejem : el rol AppServerStg fue usado desde 2 Ips distintas , una en Rusia, lanzó 5 instancias ec2 y accedió a S3. AWS Detective

23. AWS Detective

24. $ git clone https:// github.com /mario21ic/ aws - kubernetes -attacker-defender Demo

25. Demo: Escape to Host

26. - Nunca ejecutar un privileged Container - Evitar user root en Containers - No dejar información sensible en Container - Siempre cifrar los datos ( reposo , tránsito y uso ). Y cómo nos ayuda AWS? 🤔 Demo: Lecciones aprendidas

27. AWS GuarDuty

28. 1. Runtime: root level access 1. Detecta si se despliega un Container con dicho privilegio

29. AWS GuardDuty - detail

30. AWS GuardDuty + Detective 1. Container con root level access

31. 2. Runtime: binario nuevo 2. Detecta si ejecuto un binario que no existía en el Container

32. AWS GuardDuty 2. Container ejecutó un binario nuevo

33. AWS GuardDuty

34. AWS GuardDuty + Detective

35. 3. Runtime: escanero de red 3. Detecta si trato de escanear la red en busqueda de Pods

36. AWS GuardDuty 3. Intento de escaneo de red con nmap

37. AWS GuardDuty

38. AWS GuardDuty + Detective

39. AWS GuardDuty + Detective

40. 4. Images: vulnerabilities Container images y sus vulnerabilities libcurl

41. AWS ECR

42. - Administración automatizada de Vulnerabilidades . - Analiza en workloads, containers images, ec2, etc - SBOM (Software Bill Of Materials) - Soporte para CIS (Center for Internet Security) Benchmark assessments AWS Inspector

43. AWS ECR + Inspector

44. AWS ECR & Inspector

45. AWS ECR + Inspector libcurl

46. AWS Security Hub Centraliza findings de Inspector y GuardDuty en un único panel. Aplica estándares de compliance ( ej . CIS, PCI DSS, NIST) para marcar controles incumplidos . Envía findings críticos a remediación automatizada ( ej . con AWS Systems Manager Automation o un playbook en SOAR).

47. AWS Security Hub

48. 1. Inspector → Detecta vulnerabilidad en Dockerimage 2. GuardDuty → Actividad maliciosa del pod comprometido en EKS 3. Security Hub → Centraliza , correlaciona y aplica compliance 4. Detective → Investiga en detalle la cadena de ataque . 5. Remediación → Automatización ( ej . Systems Manager) Defender: flujo integrado

49. 1. OWASP Web & Kubernetes Top Ten ✅ 2. Pentesting , tipos y fases ✅ 3. Practicar en entornos controlados ✅ 4. Usar AWS Security Services ✅ - Guarduty + Detective - ECR + Inspector - Security Hub Reflexión final

50. - La “ seguridad ” es “ responsabilidad de todos ”. - No existe “la bala de plata ”. - Siempre hay un trade-off. - De ser posible hacer una PoC (Proof of concept). Lecciones aprendidas

51. Ver como se hace algo, NO nos hace expertos . Requiere “ práctica ”. Levels: 1. Teoría 2. Implementación 3. DIY from scratch Lecciones aprendidas

52. - Identify and Access Management - Network and App Protection - Data Protection - Detection and Response - Governance and Compliance Mas info https:// docs.aws.amazon.com /whitepapers/latest/ aws -overview/security- services.html Next steps

53. Contacto: Email: [email protected] LinkedIn/Twitter: https:// linkedin.com /in/mario21ic https:// x.com /mario21ic Preguntas y Contacto

54. GRACIAS