Audite os comandos que membros da organização ou aplicativos executam em contêineres para detectar ameaças antes que se agravem, seja via kubectl exec ou acesso ao shell.
Ative o recurso, visualize relatórios e logs de auditoria, configure alertas e desative o recurso quando não for mais necessário.
Este é um recurso de lista de permissões. Envie um ticket para ativar o acesso antes de prosseguir.
Faturamento
O recurso em si é gratuito. Após a ativação, há cobrança de taxas de uso do Simple Log Service (SLS). Para obter detalhes de preços, consulte Billing overview.
Limitações
Tipos de cluster: cluster ACK gerenciado Pro, cluster ACK gerenciado Basic e cluster ACK dedicado.
Sistema operacional e kernel: Alibaba Cloud Linux, Ubuntu ou ContainerOS com versão de kernel posterior a 4,19.
|
SO |
Versão mínima do cluster |
Requisitos adicionais |
|
Alibaba Cloud Linux |
1,18 |
— |
|
ContainerOS |
1,24 |
— |
|
Ubuntu |
1,30 (consulte Manually upgrade a cluster) |
É necessário desativar as atualizações automáticas do SO durante a inicialização do nó. O link simbólico |
Etapa 1: Ativar o recurso
Ativar o recurso instala dois add-ons:
Add-on de coleta de logs — coleta logs de auditoria, envia-os para o SLS e cria um relatório de auditoria padrão. Consulte Log collection component.
Add-on ack-advanced-audit — audita operações em contêineres.
O sistema cria um Logstore chamado advaudit-${cluster_id} no projeto de coleta de logs. O período de retenção padrão dos logs de auditoria é de 180 dias. Para ajustar o período de retenção, consulte Manage a Logstore.
Para ativar o recurso:
Faça login no console do ACK e clique em Clusters no painel de navegação à esquerda.
Clique no nome do seu cluster. No painel de navegação à esquerda, escolha Security > Audit.
Na página Audit, clique na aba Container Audit e, em seguida, clique em Install.
Etapa 2: Visualizar relatórios de auditoria
Na página Audit, clique na aba Container Audit e, em seguida, clique na aba Container Audit Overview.
O relatório de visão geral mostra:
Frequência de acesso a pods e detalhes dos pods.
Contas do Kubernetes, comandos executados após o acesso e ameaças comuns.
Etapa 3: Visualizar registros de log detalhados
Há dois métodos disponíveis, dependendo do seu objetivo:
|
Método |
Mais indicado para |
|
Página do relatório de auditoria |
Analisar rapidamente um evento individual recente |
|
Página do Logstore com instruções de pesquisa |
Consultas históricas e filtros complexos |
Visualizar logs na página do relatório de auditoria
Na aba Container Audit Overview, role até a seção Suspicious Process Event List. Clique em um link na coluna traceId ou eventId:
traceId — mostra todos os comandos executados após acessar um contêiner.
eventId — mostra os detalhes de um comando específico.
Visualizar logs na página do Logstore
Faça login no console do ACK e clique em Clusters no painel de navegação à esquerda.
Clique no nome do seu cluster. No painel de navegação à esquerda, escolha Security > Audit.
Na página Audit, clique na aba Container Audit e, em seguida, clique na aba Query Container Audit Logs.
-
Insira uma instrução de pesquisa na caixa de pesquisa. Consulta por pod — substitua
<namespace>e<pod_name>pelos valores reais:Categoria
Campo
Descrição
Pod
k8s.pod.namespaceNamespace do pod
Pod
k8s.pod.nameNome do pod
Processo
process.nameNome do processo executado
* and k8s.pod.namespace: <namespace> and k8s.pod.name: <pod_name>Consulta por nome do processo — substitua
<name>pelo nome do programa:* and process.name: <name>A tabela acima lista os principais campos de consulta. Para todos os métodos suportados, consulte Log search and analysis.
Defina um intervalo de tempo e clique em Search & Analyze.
(Opcional) Etapa 4: Configurar alertas
Use o recurso de alerta do SLS para monitorar operações em contêineres em tempo real. Os canais de alerta suportados incluem chatbot do DingTalk, webhooks personalizados e a central de notificações.
Para métodos de configuração de alerta, consulte Alertas.
Desativar o recurso
Desinstalar o add-on ack-advanced-audit desativa o recurso.
Desativar o recurso não exclui o Logstore advaudit-${cluster_id}. Se o mantiver, as cobranças de armazenamento do SLS continuarão. Para interromper a cobrança, faça login no console do SLS e exclua manualmente o Logstore. Consulte Stop billing for or delete a Logstore.
Para desinstalar o add-on:
Faça login no console do ACK e clique em Clusters no painel de navegação à esquerda.
Clique no nome do seu cluster. No painel de navegação à esquerda, clique em Add-ons.
Na página Add-ons, encontre ack-advanced-audit e clique em Uninstall.
Próximas etapas
Para ver as notas de versão e detalhes, consulte ack-advanced-audit.
Para auditar as operações do API Server (quem fez o quê, em qual recurso e quando), consulte Use the cluster API Server audit feature.