sysdig/sysdig-inspect

Sysdig Inspect 镜像文档

镜像概述

Sysdig Inspect 镜像提供了一个功能强大的可视化界面，专为容器环境的故障排查和安全调查设计。它能够帮助用户深入分析容器运行时数据、系统调用、网络活动及资源使用情况，是容器化应用运维和安全分析的关键工具。

核心功能和特性

• 多维度数据分析：支持实时和历史容器数据的深度检查，包括进程活动、文件系统操作、网络连接等
• 直观可视化界面：通过图形化界面展示容器行为模式，便于快速识别异常和性能瓶颈
• 容器级粒度：提供针对单个容器的详细信息，包括资源使用、依赖关系和系统调用轨迹
• 安全事件检测：支持识别潜在的安全威胁，如未授权访问、异常网络活动和***进程行为
• 兼容性：与 Sysdig 捕获文件（.scap）无缝集成，可离线分析历史数据

使用场景

• 容器故障排查：诊断容器启动失败、运行时崩溃、性能下降等问题
• 安全事件调查：分析可疑活动、入侵痕迹和未授权操作
• 系统行为分析：理解容器化应用的资源消耗模式和依赖关系
• 合规审计：记录和检查容器环境中的操作行为，满足合规要求
• 开发调试：辅助开发人员定位应用在容器环境中的运行时问题

使用方法

基本运行命令

bash
docker run -d \
  --name sysdig-inspect \
  -p 8080:8080 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v /path/to/sysdig/captures:/captures \
  sysdig/inspect

参数说明

• -p 8080:8080：将容器内的 8080 端口映射到宿主机，用于访问 Web 界面
• -v /var/run/docker.sock:/var/run/docker.sock：挂载 Docker 套接字，以获取容器元数据
• -v /path/to/sysdig/captures:/captures：挂载本地目录，用于导入/导出 Sysdig 捕获文件（.scap）

访问界面

启动容器后，通过浏览器访问 http://<宿主机IP>:8080 即可打开 Sysdig Inspect 界面。

导入捕获文件

1. 将 .scap 格式的捕获文件放入宿主机的 /path/to/sysdig/captures 目录
2. 在 Sysdig Inspect 界面中点击 "Open Capture File"
3. 选择目标文件开始分析

配置说明

环境变量

自定义配置示例

bash
docker run -d \
  --name sysdig-inspect \
  -p 9000:9000 \
  -e INSPECT_PORT=9000 \
  -e LOG_LEVEL=debug \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v /data/sysdig/captures:/captures \
  sysdig/inspect

注意事项

• 确保宿主机 Docker 服务正常运行，以便 Sysdig Inspect 获取容器信息
• 分析大型捕获文件时，建议增加容器内存限制（如 --memory=4g）
• 生产环境中应限制对 Sysdig Inspect 界面的访问，可通过网络策略或反向代理添加认证机制