La superficie de un clúster, qué se evalúa

Un clúster se evalúa por capas, y cada capa tiene sus propias preguntas. La imagen: de dónde sale, qué versión es y qué lleva dentro. El contenedor y su pod: con qué privilegios corre y qué parte del nodo puede ver. La identidad: qué cuenta de servicio usa cada aplicación y qué le dejan hacer los permisos del clúster. Los secretos: dónde se guardan y quién los lee. Y la red: qué puede hablar con qué, dentro del clúster y hacia fuera.

Por debajo están el plano de control (el servidor de la API, el almacén de estado y el agente de cada nodo) y los nodos, las máquinas donde todo corre. Un fallo en una capa alta se agrava o se contiene por lo que hay en las de abajo: un contenedor con privilegios importa más si además tiene una cuenta con permisos amplios y nada le corta la red.

Hay marcos públicos que ordenan estas preguntas: la guía de endurecimiento de Kubernetes de la NSA y CISA, y la matriz de contenedores de MITRE ATT&CK, que agrupa lo que un adversario busca en estos entornos. Sirven como lista de comprobación, no como receta.

Abre el laboratorio y lee la carta y el inventario que entregó el cliente. Después lee la lista de servicios del clúster. El primer contraste de cualquier encargo de contenedores es este: lo que el cliente declara frente a lo que el clúster realmente publica. Un servicio de tipo LoadBalancer recibe una dirección externa; uno de tipo NodePort se alcanza por un puerto alto de los nodos, y si los nodos tienen dirección pública y el proveedor deja pasar ese rango, también queda expuesto.

La superficie externa del clúster se cuenta servicio a servicio, y solo dentro del alcance de la carta. Cuenta los servicios que se alcanzan desde fuera del clúster, ya sea por dirección externa o por el puerto de los nodos, y deja fuera lo que la carta excluye.

En un clúster compartido suelen convivir cargas que no son del cliente: una agencia, un socio, un proveedor con su propio contrato. La carta los deja fuera porque quien firma no puede autorizar pruebas sobre lo que no administra. Que estén en el mismo clúster no cambia eso, pero sí cambia el riesgo del cliente, y eso es lo que se comunica.