从CKS认证到生产实践：Falco与AppArmor在Kubernetes安全防护中的5个关键场景

1. 运行时威胁检测：Falco实战部署与规则定制

Falco作为云原生运行时安全工具 ，其核心价值在于实时监控系统调用并检测异常行为。在CKS考试中我们可能只是简单地使用默认规则，但在生产环境中需要更精细化的配置。

1.1 Falco部署架构优化

生产环境推荐采用DaemonSet方式部署Falco，确保每个节点都有防护：

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: falco
spec:
  selector:
    matchLabels:
      app: falco
  template:
    spec:
      hostPID: true
      containers:
      - name: falco
        image: falcosecurity/falco:0.26.1
        volumeMounts:
        - mountPath: /var/run/docker.sock
          name: docker-socket
        - mountPath: /dev
          name: dev-fs
      volumes:
      - name: docker-socket
        hostPath:
          path: /var/run/docker.sock
      - name: dev-fs
        hostPath:
          path: /dev

1.2 关键检测场景与规则配置

针对考试中常见的恶意进程检测场景，我们需要扩展默认规则：

- rule: Unauthorized Package Management
  desc: 检测容器内未经授权的包管理操作
  condition: >
    spawned_process and container
    and package_mgmt_procs
    and not user_known_package_operations
  output: >
    检测到未经授权的包管理操作 (user=%user.name command=%proc.cmdline 
    container=%container.id image=%container.image.repository)
  priority: WARNING
  tags: [process, mitre_persistence]

生产环境关键指标监控表 ：

检测类型	默认规则	生产环境增强点	告警级别
文件修改	仅监控/etc/passwd	增加关键配置文件监控	CRITICAL
进程生成	基础包管理检测	增加非白名单进程检测	WARNING
网络连接	基本出站检测	异常端口和协议检测	CRITICAL

2. 文件系统防护：AppArmor配置文件开发实战

AppArmor作为Linux内核安全模块 ，通过配置文件限制进程对文件系统的访问权限。与CKS考试中的简单应用不同，生产环境需要更精细的控制。

2.1 生产级AppArmor配置文件开发

#include <tunables/global>

profile k8s-apparmor flags=(attach_disconnected) {
  # 基础文件系统规则
  file,
  /etc/ld.so.cache      mr,
  /lib/**               mr,
  /usr/lib/**           mr,
  
  # 应用特定目录
  /var/log/nginx/*      rw,
  /tmp/**               rw,
  
  # 明确的拒绝规则
  deny /etc/passwd      w,
  deny /etc/shadow      rw,
  deny /**              w,  # 默认拒绝所有写入
  
  # 网络规则
  network inet tcp,
  network inet udp,
  
  # 能力限制
  deny capability dac_override,
  deny capability dac_read_search,
}

2.2 Kubernetes集成最佳实践

通过RuntimeClass实现细粒度控制：

apiVersion: node.k8s.io/v1
kind: RuntimeClass
metadata:
  name: restricted
handler: restricted
scheduling:
  nodeSelector:
    security: apparmor

在Pod中引用：

apiVersion: v1
kind: Pod
metadata:
  annotations:
    container.apparmor.security.beta.kubernetes.io/main: localhost/k8s-apparmor
spec:
  runtimeClassName: restricted
  containers:
  - name: main
    image: nginx:1.19

3. 安全策略落地：从考试题到生产部署

3.1 CIS基准合规自动化

使用kube-bench进行自动化合规检查：

# 主节点检查
kube-bench master --check 1.1.12,1.2.1,1.2.2

# 工作节点检查 
kube-bench node --check 2.2,4.2

关键CIS控制项生产实施表 ：

CIS项目	考试要求	生产增强	实施方法
1.2.1	禁用匿名访问	增加审计日志	API服务器配置
1.2.2	基本RBAC配置	定期权限审计	自动化扫描
4.2.1	简单Pod安全策略	分层安全策略	PSP/OPA

3.2 网络策略深度配置

超越考试中的基础配置，实现零信任网络模型：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: zero-trust-db
spec:
  podSelector:
    matchLabels:
      role: database
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          role: frontend
    ports:
    - protocol: TCP
      port: 5432

4. 镜像与供应链安全：从漏洞扫描到运行时防护

4.1 多层级镜像扫描策略

# 使用Trivy进行CVE扫描
trivy image --severity HIGH,CRITICAL nginx:1.19

# 使用Clair进行静态分析
clair-scanner --ip $(hostname -i) nginx:1.19

镜像安全检查矩阵 ：

检查阶段	工具示例	检查重点	阻断标准
构建时	Dockerfile lint	基础镜像选择	不使用latest标签
推送前	Trivy/Clair	已知漏洞	有高危漏洞
部署时	OPA/Gatekeeper	来源验证	非受信仓库
运行时	Falco	异常行为	违反安全策略

4.2 不可变基础设施实践

apiVersion: apps/v1
kind: Deployment
metadata:
  name: immutable-app
spec:
  template:
    spec:
      containers:
      - name: main
        image: myapp:v1.2.3
        securityContext:
          readOnlyRootFilesystem: true
        volumeMounts:
        - mountPath: /tmp
          name: temp-vol
      volumes:
      - name: temp-vol
        emptyDir: {}

5. 安全监控与响应：构建可观测性体系

5.1 Falco事件处理流水线

# 告警转发到SIEM系统
falco -o json_output=true | fluent-bit -i stdin -o http -p Host=siem.example.com

安全事件响应流程 ：

1. 实时检测（Falco）
2. 事件分类（严重/高危/中危）
3. 自动响应（Pod隔离、网络阻断）
4. 人工调查（取证分析）
5. 规则优化（反馈循环）

5.2 审计日志关键配置

apiVersion: audit.k8s.io/v1
kind: Policy
rules:
- level: Metadata
  resources:
  - group: ""
    resources: ["secrets"]
- level: RequestResponse
  userGroups: ["system:nodes"]
- level: None

审计日志分析关键指标 ：

• 异常时间访问
• 高频失败请求
• 敏感资源操作
• 权限提升尝试
• 非常用客户端IP

生产环境经验总结

在实际运维中，我们发现Falco的规则需要定期更新以适应新的攻击手法。一个常见的错误是直接使用社区规则而不做定制化，这会导致大量误报。我们团队建立了规则测试流程：先在staging环境验证，确认无误后再部署到生产。

AppArmor配置的挑战在于平衡安全性和兼容性。我们采用渐进式策略：先监控模式运行，收集实际需要的权限，再生成最小权限配置。对于关键业务容器，我们还会结合seccomp进行双重防护。

安全策略的生命周期管理同样重要。我们使用GitOps工作流管理所有安全配置，每次变更都经过代码审查和自动化测试。这确保了从CKS考试中学到的安全原则能够持续、一致地应用于生产环境。