Xin chào mọi người

Watanabe sẽ phụ trách blog Sysdig thứ 35 của các kỹ sư SCSK
Lần này, chúng tôi sẽ giới thiệu chức năng Giám sát tính toàn vẹn của tệp (tỷ lệ cá cược) được phát hành vào tháng 12 năm 2025

Khách hàng thường hỏi chúng tôi có triển khai tính năng này hay không nên với bản phát hành này, giờ đây họ có thêm một lựa chọn

Trong bài viết này, chúng tôi sẽ chứng minh thông qua một xác minh đơn giản rằng những thay đổi đối với tệp trong vùng chứa sẽ kích hoạt cảnh báo

tỷ lệ cá cược là gì

tỷ lệ cá cược là tên viết tắt của Giám sát tính toàn vẹn của tệp, là cơ chế phát hiện các thay đổi đối với các tệp quan trọng trong hệ thống và vùng chứa
Mục đích là để liên tục theo dõi các thay đổi và xóa nội dung tệp, đồng thời phát hiện hành vi giả mạo trái phép và các thay đổi ngoài ý muốn ở giai đoạn đầu

tỷ lệ cá cược và triết lý của Sysdig

Sysdig phát hiện các thay đổi đối với tệp tồn tại tại thời điểm khởi động, chẳng hạn như thay đổi hoặc xóa nội dung

Nếu bạn muốn phát hiện hành vi của các tệp và tệp tạm thời được tạo hoặc cập nhật sau khi khởi động, việc sử dụng Quy tắc Falco là phù hợp

Để biết thêm kiến thức và ý tưởng kỹ thuật, vui lòng xem Sysdig

Sự khác biệt với Quy tắc Falco

So với Quy tắc Falco, tỷ lệ cá cược có cấu hình rất đơn giản
Nó cũng hỗ trợ các biểu thức chính quy, do đó, ngay cả các cấu hình đường dẫn phức tạp cũng có thể được chỉ định một cách linh hoạt
Đặc điểm là nó có thể được viết một cách trung thực để đáp ứng yêu cầu ``sẽ là vấn đề nếu nội dung trong thư mục này bị thay đổi''

Điều kiện tiên quyết

Cần có các yêu cầu sau để sử dụng tỷ lệ cá cược

- Host Shield 1430 trở lên
- Phải bật eBPF phổ quát

Có thể bật Helm bằng cách thêm nội dung sau trong khi cài đặt

yaml

Cài đặt Chính sách tỷ lệ cá cược (mục tiêu giám sát)

Chỉ định các thư mục bạn muốn theo dõi trong Thư mục được giám sát, phân tách bằng dấu phẩy
Cũng có thể sử dụng biểu thức chính quy tuân thủ Google RE2, cho phép đặc tả linh hoạt

Thư mục bị loại trừ mô tả những gì bạn muốn loại trừ khỏi quá trình phát hiện

Hãy cùng luyện tập

Lần này, chúng ta sẽ khởi động vùng chứa nginx và ghi vào cũng như xóa tệp cấu hình

<Cập nhật tệp>

Thêm vào tệp cấu hình bằng lệnh sau

kubectl run -it --rm nginx --image nginx:latest -- /bin/bash
echo 'test' >>/etc/nginx/nginxconf

Đã phát hiện thông tin sau

Nó cũng được liên kết với chức năng Cây quy trình để theo dõi lại và hiển thị các quy trình gốc, giúp xác định nguyên nhân xảy ra sự cố dễ dàng hơn
Ngoài ra, do tệp băm trước và sau khi cập nhật được hiển thị nên có thể xác định duy nhất mục tiêu, điều này có thể hữu ích trong điều tra

<Xóa tệp>

Tôi sẽ thử xóa tệp

kubectl run -it --rm nginx --image nginx:latest -- /bin/bash

Xóa cũng đã được phát hiện!

Cuối cùng

tỷ lệ cá cược là một chức năng giúp loại bỏ những lo ngại về vận hành chẳng hạn như ``tệp cấu hình đã bị viết lại mà không nhận ra'' hoặc ``Tôi không biết ai đã xóa nó''
Chúng tôi hy vọng rằng bài viết này sẽ giúp bạn tiến thêm một bước nữa trong hoạt động bảo mật của mình

Giới thiệu người phụ trách

Người phụ trách

Watanabe

Bình luận

Tôi yêu thích mật mã Khi màn hình đầu cuối xuất hiện trong anime hoặc phim truyền hình, tôi luôn kiểm tra xem nội dung có chính xác không

Trình độ chuyên môn

Quản trị viên Kubernetes được chứng nhận
Nhà phát triển ứng dụng Kubernetes được chứng nhận