ravan/falco-pod-delete-action

Falcosidekick Pod删除器镜像文档

镜像概述

该镜像提供一个Pod，能够通过环境变量接收Falcosidekick事件，并根据事件内容执行目标Pod的删除操作。主要用于Kubernetes环境中，作为安全事件响应的自动化工具，实现对可疑Pod的快速移除。

核心功能与特性

• 事件接收机制：通过环境变量获取Falcosidekick事件数据
• Pod删除能力：解析事件信息并执行目标Pod的删除操作
• 轻量级设计：资源占用低，可作为独立Pod或Sidecar运行
• 灵活集成：与Falcosidekick无缝集成，扩展其事件响应能力

使用场景与适用范围

• Kubernetes安全响应：当Falcosidekick检测到异常Pod行为（如***进程、权限越界等）时，自动触发删除操作
• 自动化安全修复：作为安全事件响应链的关键组件，减少人工干预时间
• 合规性保障：确保集群中违规Pod被及时清除，符合安全策略要求

使用方法与配置说明

环境变量配置

部署示例

Kubernetes部署（推荐）

创建Pod部署清单：

yaml
apiVersion: v1
kind: Pod
metadata:
  name: falcosidekick-pod-deleter
  namespace: security
spec:
  containers:
  - name: pod-deleter
    image: [镜像名称]
    env:
    - name: FALCOSIDEKICK_EVENT
      valueFrom:
        secretKeyRef:
          name: falcosidekick-event-secret
          key: event-data
  serviceAccountName: pod-deleter-sa

权限配置

需为Service Account配置Pod删除权限：

yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: pod-deleter-role
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["delete"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: pod-deleter-binding
subjects:
- kind: ServiceAccount
  name: pod-deleter-sa
  namespace: security
roleRef:
  kind: ClusterRole
  name: pod-deleter-role
  apiGroup: rbac.authorization.k8s.io

Docker测试运行

bash
docker run -e FALCOSIDEKICK_EVENT='{"pod":{"name":"test-pod","namespace":"default"}}' [镜像名称]

事件数据格式要求

FALCOSIDEKICK_EVENT环境变量需包含以下JSON结构：

json
{
  "pod": {
    "name": "目标Pod名称",
    "namespace": "目标Pod所在命名空间"
  }
}