Per aspera ad clustera: атака на цепочку поставок изнутри

Спикер: Евсиков Владимир, специалист по анализу защищённости, ПАО «ВымпелКом»

0:00 — Вступление
0:13 — Знакомство со спикером и его опытом
1:10 — Схема стандартной цепочки поставок ПО
1:40 — Ограничения и права атакующего
2:26 — Компрометация Jenkins и поиск секретов
3:13 — Получение доступа к GitLab и Harbor
4:00 — Использование Docker-образов для связи с внешней средой
5:10 — Анализ entrypoint и модификация скриптов
6:10 — Получение данных от Kubernetes-кластера
7:05 — Обнаружение и компрометация хранилища Vault
8:00 — Масштабирование атаки через административный доступ
9:00 — Захват корпоративного мессенджера и мониторинга
9:53 — Рекомендации по предотвращению атак
10:55 — Принципы безопасности в Jenkins и Harbor
12:05 — Заключение и блок ответов на вопросы