运行时安全：Falco/Tetragon 与 eBPF 检测实战

入口：漏洞利用 / 供应链投毒 / 配置错误 / 凭据泄露
执行：下载并运行二进制、反弹 Shell、写入 WebShell
提权：利用 SUID、内核漏洞、错误挂载的 socket
逃逸：privileged 容器、hostPath 挂载、docker.sock 暴露
横向与持久：读取 SA Token、访问 API Server、写入 CronJob

低开销：JIT 编译后接近原生性能，可编程过滤减少数据拷贝
可观测：挂载点覆盖系统调用、内核函数、网络栈
可移植：一次编写，内核版本 4.x+ 普遍支持（需 BTF/CO-RE）

pid -> /proc/<pid>/cgroup -> cgroup id -> container id -> Pod (via CRI)

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: runtime-agent
spec:
  template:
    spec:
      hostPID: true
      tolerations:
        - operator: Exists
      containers:
        - name: agent
          image: registry.example.com/runtime-agent:v0.9.0
          securityContext:
            privileged: true
          volumeMounts:
            - name: proc
              mountPath: /host/proc
              readOnly: true

- rule: 容器内写入敏感目录
  desc: 检测向 /etc 或 /bin 写入的行为
  condition: >
    open_write and container
    and fd.name startswith /etc
    and not proc.name in (known_package_managers)
  output: >
    敏感目录写入 (user=%user.name container=%container.name
    file=%fd.name command=%proc.cmdline)
  priority: WARNING
  tags: [filesystem, mitre_persistence]

eBPF 事件 -> Falco 引擎 -> 规则匹配 -> 输出通道
                                      ├── stdout（JSON）
                                      ├── gRPC（Falco Talon / 自定义消费者）
                                      ├── syslog
                                      └── webhook / Kafka / S3

falco:
  json_output: true
  json_include_output_property: true
  priority: notice
  buffered_outputs: false

第一步：观察。先用默认规则集跑一周，统计各规则触发量。
第二步：收敛。把噪声最大的规则加条件收窄（加 container、加进程白名单）。
第三步：分级。按 priority 分级路由：CRITICAL 立即告警，WARNING 聚合日报。

apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: block-write-etc
spec:
  kprobes:
    - call: "fd_install"
      syscall: false
      args:
        - index: 1
          type: "file"
      selectors:
        - matchActions:
            - action: Sigkill
          matchArgs:
            - index: 1
              operator: "Prefix"
              values: ["/etc/"]

kubectl exec -n kube-system ds/tetragon -- \
  tetra getevents -o compact --processes nginx

基线维度：namespace / workload / image / 进程名
基线内容：常见系统调用集合、文件路径集合、出网目标集合
异常判定：出现基线外的调用或路径，且频次超阈值

1. 学习期（1~2 周）：只记录不告警，采集全量行为
2. 收敛期：剔除低频噪声（如健康检查、日志轮转）
3. 固化期：生成基线规则，进入告警模式
4. 维护期：镜像或版本变更后重新学习对应工作负载

- rule: 容器内挂载文件系统
  desc: 非特权容器不应调用 mount
  condition: >
    evt.type in (mount, umount2) and container
    and not proc.name in (allowed_mount_helpers)
  output: 容器内挂载 (container=%container.name cmd=%proc.cmdline)
  priority: CRITICAL

- rule: 访问宿主机进程内存
  desc: 读取 /proc/<pid>/mem 是典型的逃逸探测
  condition: open_read and container and fd.name glob "/proc/*/mem"
  output: 进程内存读取 (file=%fd.name cmd=%proc.cmdline)
  priority: CRITICAL

SUID 二进制执行：proc.name in (sudo, su) 或发现 SUID 位文件被调用
Capability 提升：capset 系统调用携带非预期 capability
命名空间操作：setns、unshare 在业务容器中出现
内核模块加载：init_module / finit_module

CRITICAL -> 立即通知（PagerDuty / 企业微信）+ 自动取证（保存进程树、网络连接、文件哈希）
WARNING  -> 聚合到日报 + 关联分析
NOTICE   -> 仅入库，供事后审计

□ 只挂载需要的钩子，不采集全量系统调用
□ 用 cgroup 过滤，跳过 kube-system 等已知命名空间
□ 关闭调试级事件导出，只保留匹配规则的事件
□ 限制 ring buffer 大小，避免内存膨胀
□ 对高频事件（如 read/write）设置采样

要求一：内核版本 >= 4.14（推荐 5.4+）
要求二：BTF 支持（/sys/kernel/btf/vmlinux 存在）以便 CO-RE
要求三：开启 CONFIG_BPF、CONFIG_BPF_SYSCALL、CONFIG_DEBUG_INFO_BTF

# 检查 BTF 是否可用
ls -l /sys/kernel/btf/vmlinux
# 检查内核版本
uname -r

□ Agent 以 DaemonSet 部署，独立命名空间 + 最小 RBAC
□ 先观察后告警，学习期不少于一周
□ 规则按优先级分级路由，CRITICAL 立即通知
□ 建立进程 + 镜像 + 命名空间三层白名单
□ 采集进程谱系，为取证保留上下文
□ 基线驱动 seccomp profile 加固
□ 监控 Agent 自身资源占用与事件丢弃计数
□ 规则纳入 Git，变更走评审