ChaosCLAW: Chaos를 통한 Kubernetes 지속적 제어 검증

Kyverno를 설치했습니다. RBAC 정책을 작성했습니다. Falco를 활성화했습니다. 보안 대시보드는 초록색이고, 컴플라이언스 팀은 만족하며, 클러스터는 완벽하게 잠겨 있는 것처럼 느껴집니다.
하지만 여기서 불편한 질문을 던져보겠습니다. 이 중 그 어떤 것이 실제로 작동하는지 확인해 보셨나요?
정책 엔진(Policy engines)은 조용히 잘못 설정되곤 합니다. Admission webhooks는 Audit 모드로 배포된 후 Enforce 모드로 전환되지 않은 채 방치됩니다. 런타임 규칙(Runtime rules)은 알림 소음을 줄이기 위해 비활성화되기도 합니다. 그리고 이 중 그 무엇도 공격자가 직접 찾아내기 전까지는 대시보드에 빨간 불로 나타나지 않습니다.
그것이 제가 ChaosClaw를 만든 이유입니다.

ChaosClaw란 무엇인가?

ChaosClaw는 여러분의 제어 기능(controls)이 실제로 작동하는지 증명하는 Kubernetes 보안 테스트 CLI입니다. 이 도구는 라이브 클러스터를 대상으로 타겟팅된 결정론적 테스트(deterministic tests)를 실행하며, 모든 결과에 대해 구조화된 JSON 증거를 생성합니다.

ChaosClaw는 네 가지 제어 영역을 다룹니다:

Admission controls (입장 제어) — 위험한 매니페스트(manifests)가 거부되고 있는가?
RBAC policies (RBAC 정책) — 액세스 경계(access boundaries)가 실제로 강제되고 있는가?
Network segmentation (네트워크 세분화) — 트래픽이 예상대로 차단되고 있는가?
Runtime detection (런타임 탐지) — Falco/Tetragon/KubeArmor가 위협 기술에 대해 알림을 보내고 있는가?

모든 테스트는 PASS, FAIL, ERROR, 또는 SKIPPED 중 하나의 결과를 반환하며, 매 실행마다 저장, 비교(diff), 감사가 가능한 구조화된 증거 아티팩트(evidence artifact)를 생성합니다.

안전 우선: 설계 단계부터 네임스페이스 범위로 제한

무엇보다 먼저 말씀드릴 점은, ChaosClaw는 라이브 클러스터에서 실행되도록 구축되었다는 것입니다.
모든 실행은 RBAC가 적용된 전용 테스트 네임스페이스(namespace) 내로 제한됩니다. 클러스터 내의 다른 네임스페이스에는 구조적으로 접근할 수 없습니다. 보안 테스트 도구 자체가 보안 리스크가 되어서는 안 된다는 것이 설계 철학입니다.

사용해 보기

chaosclaw --help

저장소는 github.com/aahan-pat/chaosclaw에 있으며, 아키텍처 (architecture), 시나리오 라이브러리 (scenario library), CLI 레퍼런스 (CLI reference), 그리고 의도적으로 취약하게 설정된 클러스터를 대상으로 한 사례 연구 (case study)를 다루는 전체 문서가 포함되어 있습니다.

만약 여러분의 Kubernetes 보안 제어 (security controls)가 실제 공격 시나리오에 대해 검증되지 않았다면, 그것은 보장이 아닌 가정에 불과합니다. ChaosClaw는 어떤 가정들이 틀렸는지 알아낼 수 있는 방법입니다.

오픈 소스 및 기여 (Open Source & Contributing)

ChaosClaw는 완전한 오픈 소스이며 기여를 적극적으로 환영합니다. 만약 Kubernetes 보안 분야에서 일하고 계신다면, 특히 가치가 높은 참여 분야는 다음과 같습니다:

새로운 시나리오 (New scenarios): 테스트하고 싶은 제어 항목이 있나요? 시나리오 형식은 간단하며 docs/scenarios.md에 잘 문서화되어 있습니다.
새로운 경고 소스 (New alert sources): Falco, Tetragon, KubeArmor 이외의 런타임 탐지 (runtime detection)
버그 보고 및 피드백 (Bug reports & feedback): 특히 상황이 예상치 못하게 동작하는 실제 클러스터 환경으로부터의 피드백

github.com/aahan-pat/chaosclaw에서 이슈 (issue) 또는 PR을 생성해 주세요. 이 프로젝트에는 태그가 지정된 오픈 이슈들이 있어 처음 기여하는 분들도 바로 시작할 수 있습니다.