ランタイムセンサーの概要
Runtime Sensors は、Kubernetes クラスターと仮想マシン（VM）を稼働中に監視します。拡張 Berkeley Packet Filter（eBPF）を使用してカーネルからワークロードのアクティビティを監視し、脅威を発生時に検知します。
仕組み
Runtime Sensors は、各ワークロード上の Aikido エージェントの一部として動作します。センサーはアプリケーションコードを変更せずにホスト上のアクティビティを観測し、一連の検知ルールに照らして評価します。アクティビティがルールに一致すると、Aikido は検知を記録します。
Aikido には一連の 検知ルール コンテナ脱出や、コンテナ内で予期しないバイナリが実行されるなどの挙動をカバーします。ワークスペースごとに個々のルールをオンまたはオフにできます。アクティビティが有効なルールに一致すると、Aikido は調査可能な検知を作成します。そこには重大度、影響を受けたワークロード、その背後にあるイベントが要約されます。安全だと分かっているアクティビティがルールでフラグ付けされた場合は、 ルール例外 それを抑制します。
Kubernetes クラスターでは、脅威検知はデフォルトでオフになっています。クラスターごとにオンにします。始めるには、以下を参照してください。 Runtime Sensors を有効にする.
検知を確認する
次へ移動します： Runtime Sensors → 検知 検知ルールに一致したアクティビティを表示します。Aikido は 24 時間のウィンドウで、一致したイベントをソース、ルール、ワークロードごとにグループ化するため、1 つの検知が多数のイベントを表すことがあります。
各検知には次が表示されます:
- 深刻度 一致した
- ルール 名前。
- ソース、アクティビティが発生したクラスターまたは VM。
- ワークロード、たとえば Pod や VM。
- 最終検知 時刻。
検索ボックスを使ってルール名で検索します。クラスター、VM、または重大度でフィルタできます。クラスターまたは VM のどちらか一方で絞り込めますが、両方同時にはできません。
検知をクリックして調査します。詳細には次が表示されます:
- ルール名、見つかったイベント数、そしてアクティビティが最後に検知された時刻。
- 重大度に加え、ルールが対応付けられている MITRE ATT&CK のテクニックとタクティクス（例: T1620 と防御回避）への attack.mitre.org へのリンク。
- ルールが検知する内容の簡単な要約。
- 最近のイベント。ソースとワークロードごとにグループ化されています。各イベントには、プロセスコマンドやユーザー名など、トリガーとなったフィールドと、 詳細を表示 完全なイベントへのリンク。
詳細を表示 完全なイベントを開き、発生時刻と、生の 出力 センサーが生成した行、および JSON リストの フィールド。フィールドには、プロセス、ユーザー、コンテナ、Kubernetes の namespace と Pod が含まれます。アクティビティが想定どおりかどうかの判断に使用してください。
詳細の下部にある矢印を使って、検知を閉じずに移動できます。
詳細から、以下をクリックしてください アクション → ルール例外を追加 して、誤検知を抑制します。参照: ルール例外.