介绍

sysdig 是一个比较强大的安全工具，特别适用于容器、K8s 和云环境。也有很多用户觉得它是一个超级系统工具，比 strace、tcpdump、lsof 加起来还强大。可用来捕获系统状态信息，保存数据并进行过滤和分析，并且提供了命令行接口以及强大的交互界面。

下面直接截了两张官网主页的图，可以清晰的看到它的主要应用场景和能为我们做什么。
本文主要介绍sysdig 的安装和基础使用方法，后续会持续补充相关使用案例。

安装 & 使用

安装

curl -s https://download.sysdig.com/DRAIOS-GPG-KEY.public | apt-key add -
curl -s -o /etc/apt/sources.list.d/draios.list http://download.sysdig.com/stable/deb/draios.list
apt-get update
apt-get -y install linux-headers-$(uname -r)

sudo apt-get -y install sysdig
# sysdig -h

使用案例

分析节点上etcd容器行为，至少要30s, 以如下格式输出：
[timestamp],[uid],[processName]

查看可以用于过滤和输出的参数说明
# sysdig -l 

查看容器id信息
root@VM-8-4-ubuntu:~# docker ps -a|grep etcd
4a7765c533a4   004811815584                                        "etcd --advertise-cl…"   4 days ago   Up 4 days                                                                   k8s_etcd_etcd-vm-8-4-ubuntu_kube-system_682c3d043e96bb05a23c0fbc1cb0c62f_3
a733b9d99aad   registry.aliyuncs.com/google_containers/pause:3.5   "/pause"                 4 days ago   Up 4 days                                                                   k8s_POD_etcd-vm-8-4-ubuntu_kube-system_682c3d043e96bb05a23c0fbc1cb0c62f_0

分析etcd容器行为
root@VM-8-4-ubuntu:~# sysdig -M 30  -p "*%evt.time,%user.uid,%proc.name" container.id=4a7765c533a4 > ./etcd_report

root@VM-8-4-ubuntu:~# cat etcd_report |tail -n 2
08:14:27.942724848,0,etcd
08:14:27.942728375,0,etcd

注意事项

1. to add

说明

sysdig-agent/agent-installation/agent-install-manual-linux-installation/
ububtu18.04 安装sysdig，及其初步使用
开源软件–Sysdig 超级系统工具