# ランタイムセンサーの概要

Runtime Sensors は、Kubernetes クラスターと仮想マシン（VM）を稼働中に監視します。拡張 Berkeley Packet Filter（eBPF）を使用してカーネルからワークロードのアクティビティを監視し、脅威を発生時に検知します。

## 仕組み

Runtime Sensors は、各ワークロード上の Aikido エージェントの一部として動作します。センサーはアプリケーションコードを変更せずにホスト上のアクティビティを観測し、一連の検知ルールに照らして評価します。アクティビティがルールに一致すると、Aikido は検知を記録します。

Aikido には一連の [検知ルール](https://help.aikido.dev/docs/docs-ja/runtime-sensors/runtime-sensors-overview/detection-rules) コンテナ脱出や、コンテナ内で予期しないバイナリが実行されるなどの挙動をカバーします。ワークスペースごとに個々のルールをオンまたはオフにできます。アクティビティが有効なルールに一致すると、Aikido は調査可能な検知を作成します。そこには重大度、影響を受けたワークロード、その背後にあるイベントが要約されます。安全だと分かっているアクティビティがルールでフラグ付けされた場合は、 [ルール例外](https://help.aikido.dev/docs/docs-ja/runtime-sensors/runtime-sensors-overview/rule-exceptions) それを抑制します。

Kubernetes クラスターでは、脅威検知はデフォルトでオフになっています。クラスターごとにオンにします。始めるには、以下を参照してください。 [Runtime Sensors を有効にする](https://help.aikido.dev/docs/docs-ja/runtime-sensors/runtime-sensors-overview/enable-runtime-sensors).

## 検知を確認する

次へ移動します： **Runtime Sensors** → **検知** 検知ルールに一致したアクティビティを表示します。Aikido は 24 時間のウィンドウで、一致したイベントをソース、ルール、ワークロードごとにグループ化するため、1 つの検知が多数のイベントを表すことがあります。

各検知には次が表示されます:

* **深刻度** 一致した
* **ルール** 名前。
* **ソース**、アクティビティが発生したクラスターまたは VM。
* **ワークロード**、たとえば Pod や VM。
* **最終検知** 時刻。

検索ボックスを使ってルール名で検索します。クラスター、VM、または重大度でフィルタできます。クラスターまたは VM のどちらか一方で絞り込めますが、両方同時にはできません。

検知をクリックして調査します。詳細には次が表示されます:

* ルール名、見つかったイベント数、そしてアクティビティが最後に検知された時刻。
* 重大度に加え、ルールが対応付けられている MITRE ATT\&CK のテクニックとタクティクス（例: T1620 と防御回避）への attack.mitre.org へのリンク。
* ルールが検知する内容の簡単な要約。
* 最近のイベント。ソースとワークロードごとにグループ化されています。各イベントには、プロセスコマンドやユーザー名など、トリガーとなったフィールドと、 **詳細を表示** 完全なイベントへのリンク。

**詳細を表示** 完全なイベントを開き、発生時刻と、生の **出力** センサーが生成した行、および JSON リストの **フィールド**。フィールドには、プロセス、ユーザー、コンテナ、Kubernetes の namespace と Pod が含まれます。アクティビティが想定どおりかどうかの判断に使用してください。

詳細の下部にある矢印を使って、検知を閉じずに移動できます。

詳細から、以下をクリックしてください **アクション** → **ルール例外を追加** して、誤検知を抑制します。参照: [ルール例外](https://help.aikido.dev/docs/docs-ja/runtime-sensors/runtime-sensors-overview/rule-exceptions).

## 関連

{% content-ref url="enable-runtime-sensors.md" %}
[Runtime Sensors を有効にする](https://help.aikido.dev/docs/docs-ja/runtime-sensors/runtime-sensors-overview/enable-runtime-sensors)
{% endcontent-ref %}

{% content-ref url="detection-rules.md" %}
[検知ルール](https://help.aikido.dev/docs/docs-ja/runtime-sensors/runtime-sensors-overview/detection-rules)
{% endcontent-ref %}

{% content-ref url="rule-exceptions.md" %}
[ルール例外](https://help.aikido.dev/docs/docs-ja/runtime-sensors/runtime-sensors-overview/rule-exceptions)
{% endcontent-ref %}