security-testing

This homelab has six primary attack layers. See references/attack-surface.md for the full inventory of known weaknesses per layer.

| Network | Cilium default-deny, profile CCNPs | Prometheus scrape baseline (any port), escape hatch window, intra-namespace freedom | | Gateway | Coraza WAF, Istio Gateway API | WAF FAILOPEN, PL1 bypass, gateway allowedRoutes.from: All |

| Authentication | OAuth2-Proxy, Authelia 2FA, app-native | 7-day cookie, brute force window, Vaultwarden admin redirect bypass | | Authorization | PodSecurity admission, RBAC | Minimal custom RBAC, homepage ClusterRole reads cluster | | Container | Security contexts, Istio mTLS | Gluetun root+NETADMIN+no mesh, Cilium agent SYSADMIN |

Metodología de prueba de seguridad adversaria para el laboratorio doméstico de Kubernetes. Cubre la política de red. evasión, elusión de autenticación, escalada de privilegios, robo de credenciales y ataques a la cadena de suministro. Úselo cuando: (1) el equipo rojo realice pruebas en el laboratorio doméstico, (2) valide la aplicación de políticas de red, (3) Prueba de omisión de WAF en puerta de enlace externa, (4) Sondeo de capas de autenticación, (5) Evaluación de rutas de escape de contenedores, (6) Auditoría de RBAC y cuentas de servicio, (7) Probar la seguridad de la cadena de suministro del canal de promoción de OCI. Activadores: "prueba de seguridad", "equipo rojo", "pentest", "prueba de penetración", "superficie de ataque", "Eludir WAF", "evasión de políticas de red", "escalada de privilegios", "movimiento lateral", "robo de credenciales", "escape de contenedores", "auditoría RBAC", "auditoría de seguridad", "vulnerabilidad" Fuente: ionfury/homelab.