security-testing

This homelab has six primary attack layers. See references/attack-surface.md for the full inventory of known weaknesses per layer.

| Network | Cilium default-deny, profile CCNPs | Prometheus scrape baseline (any port), escape hatch window, intra-namespace freedom | | Gateway | Coraza WAF, Istio Gateway API | WAF FAILOPEN, PL1 bypass, gateway allowedRoutes.from: All |

| Authentication | OAuth2-Proxy, Authelia 2FA, app-native | 7-day cookie, brute force window, Vaultwarden admin redirect bypass | | Authorization | PodSecurity admission, RBAC | Minimal custom RBAC, homepage ClusterRole reads cluster | | Container | Security contexts, Istio mTLS | Gluetun root+NETADMIN+no mesh, Cilium agent SYSADMIN |

Kontroverse Sicherheitstestmethodik für das Kubernetes-Homelab. Deckt Netzwerkrichtlinien ab Umgehung, Authentifizierungsumgehung, Rechteausweitung, Diebstahl von Anmeldedaten und Angriffe auf die Lieferkette. Wird verwendet, wenn: (1) Red-Team-Tests gegen das Homelab durchgeführt werden, (2) die Durchsetzung von Netzwerkrichtlinien validiert wird, (3) Testen der WAF-Umgehung auf einem externen Gateway, (4) Prüfen der Authentifizierungsebenen, (5) Bewerten von Container-Fluchtpfaden, (6) Prüfen von RBAC- und Dienstkonten, (7) Testen der Lieferkettensicherheit der OCI-Werbepipeline. Auslöser: „Sicherheitstest“, „Red Team“, „Pentest“, „Penetrationstest“, „Angriffsfläche“, „WAF-Umgehung“, „Umgehung der Netzwerkpolitik“, „Privilegienausweitung“, „Lateralbewegung“, „Anmeldedatendiebstahl“, „Container-Flucht“, „RBAC-Audit“, „Sicherheitsaudit“, „Sicherheitslücke“ Quelle: ionfury/homelab.