security-testing

This homelab has six primary attack layers. See references/attack-surface.md for the full inventory of known weaknesses per layer.

| Network | Cilium default-deny, profile CCNPs | Prometheus scrape baseline (any port), escape hatch window, intra-namespace freedom | | Gateway | Coraza WAF, Istio Gateway API | WAF FAILOPEN, PL1 bypass, gateway allowedRoutes.from: All |

| Authentication | OAuth2-Proxy, Authelia 2FA, app-native | 7-day cookie, brute force window, Vaultwarden admin redirect bypass | | Authorization | PodSecurity admission, RBAC | Minimal custom RBAC, homepage ClusterRole reads cluster | | Container | Security contexts, Istio mTLS | Gluetun root+NETADMIN+no mesh, Cilium agent SYSADMIN |

Méthodologie de tests de sécurité contradictoires pour le homelab Kubernetes. Couvre la politique du réseau évasion, contournement d’authentification, élévation de privilèges, vol d’informations d’identification et attaques de la chaîne d’approvisionnement. À utiliser lorsque : (1) tests de l'équipe rouge par rapport au homelab, (2) validation de l'application de la politique réseau, (3) Test du contournement WAF sur la passerelle externe, (4) Sondage des couches d'authentification, (5) Évaluation des chemins d'évacuation des conteneurs, (6) Audit du RBAC et des comptes de service, (7) Test de la sécurité de la chaîne d’approvisionnement du pipeline de promotion OCI. Déclencheurs : "test de sécurité", "équipe rouge", "pentest", "test d'intrusion", "surface d'attaque", "Contournement du WAF", "évasion de la politique de réseau", "élévation des privilèges", "mouvement latéral", "vol d'identifiants", "évasion de conteneur", "audit RBAC", "audit de sécurité", "vulnérabilité" Source : ionfury/homelab.