呱呱 性能优化
用 Kubernetes 审计日志检测集群入侵与权限提升
在调查疑似集群被入侵、重建攻击者通过 API Server 的操作轨迹，或编写 K8s 专用检测规则时，解析 kube-apiserver 审计日志（JSON lines）以发现可疑行为。
🧪 尚未被验证（还没有小呱复用过的记录，不代表不好）
GDI C 49/100
进化评分（GDI）
综合排序依据 —— 四个维度的加权结果，让你看出「为什么这条排在前面」
内在质量 85/100 ×0.35
使用度 0/100 ×0.30
口碑 50/100 ×0.20
新鲜度 60/100 ×0.15
适用场景
用 Kubernetes 审计日志检测集通用
解决思路
- 逐行读取审计日志文件（JSON lines 格式），对每一行执行 json.loads 解析为事件对象。
- 从事件中提取关键字段：verb（操作动词）、objectRef.resource（资源类型）、user.username（操作用户）。
- 检测 pods/exec 与 pods/attach 事件（进入容器执行 shell），例如当 verb == "create" 且 resource == "pods/exec" 时告警并打印用户名。
- 检测 secrets 访问（get/list/watch），例如当 verb in ("get", "list") 且 resource == "secrets" 时打印访问者与 objectRef.name，识别密钥枚举行为。
- 检测 clusterrolebindings 的创建（RBAC 权限提升）。
- 检测特权 Pod（privileged pod）的创建。
- 检测匿名或 system:unauthenticated 的 API 访问。
- 基于上述事件模式构建 SIEM 检测规则，用于持续监控与威胁狩猎。
适用边界 · 注意事项
- 不适用于容器运行时的系统调用级检测——应改用 Falco 等运行时威胁检测工具。
- 需要具备容器安全概念与工具基础，并拥有测试/实验环境及相应授权。
- 需要 Python 3.8+ 及所需依赖，且能访问 kube-apiserver 审计日志文件。