现象

我登录到集群上，发现在kube-system上有3个名字为api-proxy的pod，describe看是一个daemonset。

应该是运气好，镜像拉取失败了，没跑起来。。。

排查

百度一下，这个是一个门罗币的挖矿病毒。

kubectl get ds api-proxy -n kube-system -o yaml

搜了一下这个ip是匈牙利的，我的服务器上是有防止ssh爆破脚本的，定时任务也没有异常，查看服务器登录记录，也没有异常ip。

last
crontab -l

查看CPU和内存使用情况也都是正常的，因为pod没跑起来，要是跑起来了，我还能更快收到邮件告警。。。

ps aux|grep xmrig # 我这里是没有的
find / -name xmrig

cd /root/.ssh
ls -al

cat /etc/passwd

vim /var/log/secure

黑客通过API访问到了我的集群，并安装了这个daemonset。那么他是怎么访问到我的集群呢？

我开启了2379-2380，6443，10250端口。

kubectl get clusterrolebindings -o yaml | grep system:anonymous
k get clusterrolebinding test:anonymous -o yaml

我想起来之前做测试用的这个test:anonymous集群用户，授予了cluster-admin的权限，黑客就扫描暴露在公网的6443端口，通过"system:anonymous"匿名账号登录到集群。

因为我这里下载镜像失败了，就不用删除镜像了，直接删除ds。

ccrictl rmi $(crictl images | grep xmrig | awk '{print $3}')
kubectl delete ds api-proxy -n kube-system

删除test:anonymous集群用户，或者修改权限

k delete clusterrolebinding test:anonymous
kubectl get clusterrolebindings -o yaml | grep system:anonymous

谨慎使用匿名权限，否则API serevr 6443端口鉴权会出现问题。
关闭无关的公网端口，比如redis端口，mysql端口等。
正确使用RBAC策略绑定，不要改变或新增集群原生用户或组（system:开头）的权限绑定，也不要改变系统原生的集群角色(clusterrole)或角色(role)。
开启集群审计日志
使用PSP安全策略，集群开启PSP后，即使黑客获取了集群的访问权限，也无法做进一步的操作。