security-testing

This homelab has six primary attack layers. See references/attack-surface.md for the full inventory of known weaknesses per layer.

| Network | Cilium default-deny, profile CCNPs | Prometheus scrape baseline (any port), escape hatch window, intra-namespace freedom | | Gateway | Coraza WAF, Istio Gateway API | WAF FAILOPEN, PL1 bypass, gateway allowedRoutes.from: All |

| Authentication | OAuth2-Proxy, Authelia 2FA, app-native | 7-day cookie, brute force window, Vaultwarden admin redirect bypass | | Authorization | PodSecurity admission, RBAC | Minimal custom RBAC, homepage ClusterRole reads cluster | | Container | Security contexts, Istio mTLS | Gluetun root+NETADMIN+no mesh, Cilium agent SYSADMIN |

Методика состязательного тестирования безопасности для домашней лаборатории Kubernetes. Охватывает сетевую политику уклонение, обход аутентификации, повышение привилегий, кража учетных данных и атаки на цепочку поставок. Используйте, когда: (1) тестирование красной командой в домашней лаборатории, (2) проверка соблюдения сетевой политики, (3) Тестирование обхода WAF на внешнем шлюзе, (4) Проверка уровней аутентификации, (5) Оценка путей выхода из контейнера, (6) Аудит RBAC и учетных записей служб, (7) Тестирование безопасности цепочки поставок канала продвижения OCI. Триггеры: «тест безопасности», «красная команда», «пентест», «тест на проникновение», «поверхность атаки», «Обход WAF», «уклонение от сетевой политики», «эскалация привилегий», «боковое перемещение», «кража учетных данных», «побег из контейнера», «RBAC-аудит», «аудит безопасности», «уязвимость» Источник: ionfury/homelab.