Vorbereitung für die Kubernetes and Cloud Native Security Associate (KCSA) Prüfung

Cloud, Cluster, Container, Code: Jede Schicht hat eigene Sicherheitsanforderungen, und eine Schwachstelle in einer äußeren Schicht lässt sich nicht durch die innere kompensieren. Sie lernen die Verantwortungsteilung zwischen Cloud-Provider und Betreiber kennen und analysieren, welche Infrastructure-Security-Controls (Netzwerk-Segmentierung, IAM, Firewalls) in der Praxis relevant sind. Am Ende dieses Blocks können Sie eine bestehende Architektur in die vier Schichten einordnen und Sicherheitslücken systematisch identifizieren.

Welches Base Image ist sicher, und wie erkennen Sie bekannte Schwachstellen, bevor ein Container in Produktion läuft? Sie scannen Images mit Trivy, bewerten CVE-Ergebnisse und definieren Richtlinien für erlaubte Base Images. Zusätzlich sehen Sie, wie Image Signing mit Cosign die Supply Chain absichert und warum ein privates Registry zur Standard-Infrastruktur gehört.

Der API Server ist das zentrale Tor zu Ihrem Cluster. Sie untersuchen seine Authentifizierungs- und Autorisierungsketten, prüfen TLS-Konfigurationen und verstehen, warum etcd-Encryption at Rest kein optionales Feature ist. Dabei sehen Sie auch, wie Controller Manager und Scheduler abgesichert werden und welche Flags in der Praxis den Unterschied machen.

Auf der Worker-Node-Ebene entscheidet die Kubelet-Konfiguration über die Sicherheit aller laufenden Pods. Sie prüfen, welche Kubelet-Flags anonymen Zugriff verhindern, wie die Container Runtime (containerd) isoliert und welche Rolle KubeProxy bei der Netzwerksicherheit spielt. Praxis: Sie analysieren eine Node-Konfiguration und identifizieren Härtungsmaßnahmen.

Wie fließt Traffic zwischen Pods, und wo entstehen dabei Angriffsflächen? Sie betrachten das Kubernetes-Netzwerkmodell, die Rolle von CNI-Plugins und warum Storage Encryption bei persistenten Daten notwendig ist. Außerdem sichern Sie den Zugang über kubectl und kubeconfig ab: Kontexte trennen, Zertifikate verwalten und den Zugriff auf das Cluster minimieren.

Kubernetes bringt mit den Pod Security Standards drei Profile mit: Privileged, Baseline und Restricted. Sie konfigurieren Pod Security Admissions im Cluster und testen, wie die Modi enforce, audit und warn auf nicht-konforme Pods reagieren. Danach wissen Sie, welches Profil für welchen Workload passt und wie Sie die Standards schrittweise einführen.

Wer darf was im Cluster? Sie arbeiten mit den drei Authentifizierungswegen (X.509-Zertifikate, Bearer Tokens, OIDC) und bauen anschließend RBAC-Rollen und RoleBindings auf. Dabei sehen Sie typische Fehlkonfigurationen: zu breite ClusterRoles, fehlende Namespace-Trennung und warum system:masters ein Risiko ist.

Secrets sind in Kubernetes standardmäßig nur Base64-kodiert, nicht verschlüsselt. Sie aktivieren Encryption at Rest mit einer EncryptionConfiguration, vergleichen Alternativen wie Sealed Secrets und lernen, warum Namespace-basierte Isolation zusammen mit ResourceQuotas und LimitRanges die erste Verteidigungslinie ist. Abschließend richten Sie Audit Logging ein, um sicherheitsrelevante API-Aufrufe nachvollziehbar zu machen.

Ohne NetworkPolicies kann jeder Pod mit jedem anderen kommunizieren. Sie implementieren eine Default-Deny-Strategie und öffnen gezielt Ingress- und Egress-Regeln für Ihre Workloads. Praxis: Sie schreiben Policies für ein Microservice-Szenario, testen die Verbindungen mit curl und kubectl exec und verifizieren, dass nur erlaubter Traffic fließt.

Wo liegen die Trust Boundaries in einem Kubernetes-Cluster, und wie bewegt sich ein Angreifer nach einem initialen Zugriff weiter? Sie analysieren reale Angriffsszenarien: Privilege Escalation über überprivilegierte Service Accounts, Persistence durch manipulierte Container-Images und Lateral Movement im Cluster-Netzwerk. Anschließend ordnen Sie Gegenmaßnahmen (RBAC, Network Policies, Pod Security) den jeweiligen Angriffsvektoren zu.

Falco erkennt verdächtiges Verhalten zur Laufzeit, indem es System Calls über eBPF überwacht. Sie deployen Falco per Helm Chart in Ihrem Cluster, schreiben eigene Regeln (z.B. Shell-Zugriff in Containern erkennen) und konfigurieren Alerts. Dabei verstehen Sie den Unterschied zwischen signaturbasierter und verhaltensbasierter Erkennung und wann welcher Ansatz greift.

Admission Controllers prüfen jede Anfrage an den API Server, bevor sie persistiert wird. Sie installieren OPA Gatekeeper, schreiben ConstraintTemplates in Rego und erzwingen Policies (z.B. keine Container als root, nur erlaubte Registries). Zusätzlich vergleichen Sie den Ansatz mit Kyverno, das auf YAML statt Rego setzt.

Sichere Software beginnt vor dem Deployment: Sie verfolgen den Weg vom Code über das Build-System bis ins Cluster und identifizieren Angriffspunkte in der Supply Chain. Dabei lernen Sie SBOM-Konzepte und Image Signing mit Cosign kennen. Parallel dazu verstehen Sie, wie PKI und TLS/mTLS die Kommunikation im Cluster verschlüsseln und welche Rolle ein Service Mesh dabei spielt.

Welche Compliance-Anforderungen gelten für Kubernetes-Cluster, und wie weisen Sie deren Einhaltung nach? Sie arbeiten mit den Frameworks NIST, PCI DSS und GDPR und ordnen deren Anforderungen konkreten Kubernetes-Konfigurationen zu. Praxis: Mit kube-bench prüfen Sie Ihren Cluster gegen die CIS Kubernetes Benchmarks und lernen, wie STRIDE und OCTAVE bei der strukturierten Bedrohungsanalyse helfen.

Die KCSA-Prüfung besteht aus 60 Multiple-Choice-Fragen in 90 Minuten mit einer Bestehensgrenze von 75%. Sie gehen die Domänen-Gewichtung durch, identifizieren Ihre Stärken und Schwächen und lösen Beispielfragen aus allen sechs Bereichen. Zusätzlich besprechen Sie Zeitmanagement-Strategien und erfahren, wie der Prüfungsablauf (Online-Proctoring, PSI Bridge) funktioniert.