启用Istio mTLS的K8s集群中，容器遭入侵能否阻止横向攻击？

你说得对，仅靠Istio启用的mTLS无法阻止容器被攻破后的横向攻击，原因和补充措施如下：

mTLS的局限性 #

mTLS的核心作用是加密服务间通信链路，并验证通信双方是Istio服务网格内的合法实例，但它不具备访问控制能力：

• 一旦某个Pod的容器被攻破，攻击者可以获取该Pod关联的Istio sidecar证书（或直接接管sidecar的通信权限），此时攻击者拥有了网格内的合法身份。
• mTLS只会校验这个身份的合法性，不会判断该身份是否有权限访问目标服务，因此攻击者可以以合法身份发起对其他Pod的调用，实现横向攻击。

必须补充的安全措施 #

要阻止这类横向攻击，需要结合以下手段：

• Istio授权策略（AuthorizationPolicy）：定义细粒度的访问控制规则，限制只有特定身份的服务才能访问目标资源。比如只允许指定命名空间、服务账户的Pod调用某服务：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: restrict-target-service-access
  namespace: target-ns
spec:
  selector:
    matchLabels:
      app: target-service
  rules:
  - from:
    - source:
        principals: ["cluster.local/ns/allowed-ns/sa/allowed-sa"]
    to:
    - operation:
        methods: ["GET", "POST"]

• Kubernetes网络策略：从底层网络层面限制Pod间的通信，即使攻击者拥有合法身份，也无法建立网络连接。比如只允许特定标签的Pod访问目标Pod的指定端口。
• Pod安全加固：通过Pod Security Context设置最小权限运行容器、启用Seccomp/AppArmor限制系统调用、定期轮换Istio证书等，降低容器被攻破的概率，同时缩小攻击影响范围。

参考文档要点 #

• Istio官方认证文档明确指出，mTLS是身份验证的基础，而授权策略是实现访问控制的核心组件，二者结合才能构建完整的服务间安全体系。
• Istio授权策略章节详细介绍了如何基于服务账户、命名空间、请求路径/方法等维度定义访问规则，限制合法身份的访问范围。
• Kubernetes官方网络策略文档说明，网络策略可与服务网格配合，从网络层实现更严格的Pod隔离。

内容的提问来源于stack exchange，提问作者Anuj