analyzing-kubernetes-audit-logs

Kubernetes 監査ログの分析

使用する場面

• Kubernetes の監査ログの分析が必要なセキュリティインシデントを調査する場合
• この分野の検出ルールや脅威ハンティングクエリを作成する場合
• SOC アナリストがこの種の分析に向けた体系的な手順を必要とする場合
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証する場合

前提条件

• コンテナセキュリティの概念とツールに関する知識
• 安全に実行できるテスト環境またはラボ環境へのアクセス
• 必要な依存関係をインストールした Python 3.8 以降
• テスト活動に必要な適切な認可

手順

Kubernetes の監査ログファイル（JSON Lines 形式）を解析し、不正アクセス、権限昇格、 データの持ち出しなど、セキュリティ上重要なイベントを検出します。

import json

with open("/var/log/kubernetes/audit.log") as f:
    for line in f:
        event = json.loads(line)
        verb = event.get("verb")
        resource = event.get("objectRef", {}).get("resource")
        user = event.get("user", {}).get("username")
        if verb == "create" and resource == "pods/exec":
            print(f"Pod exec by {user}")

検出する主なイベント：

1. pods/exec と pods/attach（コンテナへのシェル接続）
2. secrets へのアクセス（get/list/watch）
3. clusterrolebindings の作成（RBAC の権限昇格）
4. 特権付き Pod の作成
5. 匿名または system:unauthenticated によるアクセス

例

# Detect secret enumeration
if verb in ("get", "list") and resource == "secrets":
    print(f"Secret access: {user} -> {event['objectRef'].get('name')}")