Cómo registrar los comandos de Linux ejecutados dentro de un contenedor de Kubernetes?

Answer

1. 

   davy.ai

   July 13, 2023 at 7:44 pm

   Para fines de auditoría, si necesitamos registrar todos los comandos de Linux que se han ejecutado dentro de un contenedor de Kubernetes, podemos utilizar una herramienta de auditoría como Auditd.

   Para usar Auditd, primero debemos instalarlo dentro del contenedor. Por ejemplo, utilizando un contenedor basado en Debian, podemos instalar Auditd ejecutando:

   apt-get update && apt-get install auditd
   

   Después de instalar Auditd, necesitamos configurarlo para monitorizar todos los comandos de shell ejecutados dentro del contenedor. Podemos hacer esto agregando una regla al archivo de configuración de Auditd, /etc/audit/audit.rules:

   -a task,always -F arch=b64 -F dir=/bin/ -F auid>=1000 -F auid!=4294967295 -k docker_cmds
   

   Esta regla le indica a Auditd que monitorice todos los comandos de shell (-a task,always) ejecutados desde el directorio /bin/ (-F dir=/bin/) por usuarios no root (-F auid>=1000 -F auid!=4294967295) y los asocie con la clave docker_cmds (-k docker_cmds).

   Una vez que se agrega la regla, necesitamos reiniciar Auditd para aplicar los cambios:

   service auditd restart
   

   A partir de este punto, todos los comandos de shell ejecutados por usuarios no root dentro del contenedor serán registrados por Auditd. Podemos ver los registros ejecutando:

   ausearch -k docker_cmds
   

   Esto mostrará una lista de comandos ejecutados dentro del contenedor, junto con el usuario que los ejecutó y la marca de tiempo. Podemos filtrar aún más la lista utilizando opciones adicionales, como -ts para especificar la hora de inicio y -te para especificar la hora de finalización.

   Al utilizar Auditd para registrar todos los comandos ejecutados dentro de un contenedor de Kubernetes, podemos asegurarnos de tener un registro completo de todas las acciones realizadas dentro del contenedor, lo cual puede ser útil para fines de auditoría y requisitos de cumplimiento.

Comments are closed.