mcpField
A
analyzing-kubernetes-audit-logs

analyzing-kubernetes-audit-logs

github.com/mukul975安全35.2k457 次安装8 周前更新
代码仓库

关于 analyzing-kubernetes-audit-logs

用于解析 JSON Lines 格式 Kubernetes 审计日志并识别安全事件的分析技能，面向事件响应人员、SOC 分析师及检测规则开发团队。

主要功能

  1. 01解析 JSON Lines 审计日志
  2. 02检测 pod exec 和 attach 事件
  3. 03识别 Secret 访问
  4. 04标记 RBAC 变更与特权 Pod
  5. 05发现匿名访问

适用场景

  1. 01调查 Kubernetes 安全事件
  2. 02构建威胁狩猎查询与检测规则
  3. 03验证审计监控覆盖情况

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-kubernetes-audit-logs

安装后在 Claude Code 中输入/analyzing-kubernetes-audit-logs确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

分析 Kubernetes 审计日志

适用场景

  • 调查需要分析 Kubernetes 审计日志的安全事件时
  • 为此领域构建检测规则或威胁狩猎查询时
  • SOC 分析师需要此类分析的结构化流程时
  • 验证对相关攻击技术的安全监控覆盖情况时

先决条件

  • 熟悉容器安全概念和工具
  • 可访问用于安全执行的测试或实验环境
  • 已安装所需依赖项的 Python 3.8+
  • 任何测试活动均获得适当授权

说明

解析 Kubernetes 审计日志文件（JSON 行格式），以检测与安全相关的事件，包括未授权访问、权限提升和数据外泄。

import json

with open("/var/log/kubernetes/audit.log") as f:
    for line in f:
        event = json.loads(line)
        verb = event.get("verb")
        resource = event.get("objectRef", {}).get("resource")
        user = event.get("user", {}).get("username")
        if verb == "create" and resource == "pods/exec":
            print(f"Pod exec by {user}")

要检测的关键事件：

  1. pods/exec 和 pods/attach（进入容器的 shell）
  2. 访问 secrets（get/list/watch）
  3. 创建 clusterrolebindings（RBAC 权限提升）
  4. 创建特权 Pod
  5. 匿名或 system:unauthenticated 访问

示例

# Detect secret enumeration
if verb in ("get", "list") and resource == "secrets":
    print(f"Secret access: {user} -> {event['objectRef'].get('name')}")

评论

支持 Markdown