Kubernetes

Overview

Pack cung cấp giám sát bảo mật toàn diện Kubernetes cluster trên SecOps platform, bao gồm:

• Parser — chuẩn hóa 3 loại log K8s (pod container logs, cluster events, API audit logs) sang ECS
• 7 streaming rules — phát hiện CrashLoop, API auth failure, container error/fatal, pod scheduling fail, resource deletion, container killed
• 2 correlation rules — phát hiện container error spike và API auth burst
• 1 dashboard — 12 chart giám sát SOC cluster health và security

Yêu cầu trước khi cài đặt

Định dạng log bắt buộc

{
  "message": "<log line from container or event message>",
  "timestamp": "2024-01-15T10:30:00.000Z",
  "kubernetes": {
    "pod_name": "webapp-deployment-abc12-xyz9",
    "namespace_name": "production",
    "container_name": "webapp",
    "container_id": "docker://a1b2c3d4e5f6abcd1234",
    "pod_id": "pod-uid-1234-abcd-5678-efgh",
    "host": "k8s-worker-node-01",
    "labels": { "app": "webapp" }
  }
}

Parser phân biệt loại log theo cấu trúc JSON và nội dung message. Kubernetes metadata được extract từ object kubernetes.*.

Ví dụ log hợp lệ

Container log — ERROR level:

{"@timestamp":"2024-01-15T10:30:00.000Z","message":"ERROR Failed to connect to database: connection refused after 30s","timestamp":"2024-01-15T10:30:00.000Z","kubernetes":{"pod_name":"webapp-deployment-abc12-xyz9","namespace_name":"production","container_name":"webapp","container_id":"docker://a1b2c3d4e5f6abcd1234","pod_id":"pod-uid-1234-abcd","host":"k8s-worker-node-01","labels":{"app":"webapp"}}}

Cluster event — CrashLoopBackOff:

{"@timestamp":"2024-01-15T10:35:00.000Z","message":"Back-off restarting failed container webapp in pod webapp-deployment-abc12-xyz9_production(pod-uid-1234)","timestamp":"2024-01-15T10:35:00.000Z","kubernetes":{"pod_name":"webapp-deployment-abc12-xyz9","namespace_name":"production","container_name":"webapp","container_id":"docker://a1b2c3d4e5f6abcd1234","pod_id":"pod-uid-1234","host":"k8s-worker-node-01"}}

API audit log — authorization failure:

{"@timestamp":"2024-01-15T10:40:00.000Z","message":"{\"kind\":\"Event\",\"apiVersion\":\"audit.k8s.io/v1\",\"verb\":\"delete\",\"user\":{\"username\":\"system:serviceaccount:default:bad-actor\"},\"responseStatus\":{\"code\":403,\"message\":\"Forbidden\"}}","timestamp":"2024-01-15T10:40:00.000Z","kubernetes":{"pod_name":"kube-apiserver-master","namespace_name":"kube-system","container_name":"kube-apiserver","host":"k8s-master-01"}}

Parser tự động phát hiện loại log qua nội dung message (BackOff, FATAL, ERROR prefix, JSON audit structure).

Cài đặt

1. Vào Marketplace → tìm "Kubernetes Security" → Install
2. Kiểm tra Parsers → kubernetes-parser đang active
3. Kiểm tra Detection Rules → filter tag Kubernetes → 9 rules đang enabled
4. Mở Dashboards → Kubernetes Security Overview

Parser — Các trường ECS chính

Detection Rules

Streaming Rules (7 rules — real-time)

Correlation Rules (2 rules — pattern)

Dashboard — Kubernetes Security Overview

SOC Triage nhanh:

1. Metric 3 → CrashLoop cao → service instability, kiểm tra deployment config
2. Metric 4 → API failures cao → RBAC misconfiguration hoặc unauthorized access
3. Chart 8 → một container crash liên tục → điều tra application và resource limits
4. Table 12 → xác nhận service account bị lạm dụng

Troubleshooting

Checklist parser:

• JSON có đủ message, timestamp, kubernetes object
• kubernetes.pod_name, kubernetes.namespace_name, kubernetes.container_name có giá trị
• API audit logs được forward nếu cần giám sát API security
• kubernetes-parser.yaml đang active

Hỗ trợ

• Lỗi platform: Mở ticket tại SecOps support portal
• Góp ý pack: Dùng tính năng feedback trên trang Marketplace
• Tuning rule: Slack #detection-engineering

Last updated: 2026-06-04 · Vendor: CNCF · Author: secops-team