Uptycs Kubernetes Osquery Daemonset镜像文档

概述

Uptycs Kubernetes Osquery daemonset镜像是由Uptycs提供的容器化组件，专门用于在Kubernetes集群中以daemonset模式部署Osquery。该镜像通过在集群的每个节点上运行Osquery实例，实现对节点、容器及运行时环境的安全监控与系统数据采集，并将采集的数据上报至Uptycs平台进行集中分析与可视化。

核心功能与特性

1. Daemonset部署模式

• 遵循Kubernetes daemonset控制器特性，确保集群中每个节点（包括新增节点）自动运行一个Osquery实例，实现全集群覆盖。
• 支持节点亲和性、污点容忍等Kubernetes调度策略，适配复杂集群环境。

2. Osquery集成

• 内置Osquery引擎，支持通过SQL查询语法对系统底层数据（如进程、网络连接、文件系统、用户账户等）进行结构化采集。
• 预配置常用安全监控查询规则，覆盖基线检查、异常行为检测等场景。

3. Uptycs平台联动

• 与Uptycs安全平台深度集成，自动将采集的Osquery数据上报至Uptycs平台。
• 支持Uptycs平台的查询管理、告警配置及可视化分析功能，实现监控数据的集中处理。

4. 容器环境适配

• 针对Kubernetes容器环境优化，支持对容器运行时（如containerd、CRI-O）、Pod、容器网络等容器相关数据的采集。
• 兼容主流Kubernetes发行版（如EKS、GKE、AKS、自建K8s集群）。

使用场景与适用范围

适用场景

• Kubernetes集群安全监控：实时监控集群节点及容器的运行状态，检测异常进程、未授权访问等安全风险。
• 节点与容器运行时检测：通过Osquery查询容器镜像信息、进程树、网络连接等，识别容器逃逸或***行为。
• 合规性审计：采集系统配置、用户权限等数据，满足PCI DSS、HIPAA等合规性要求的审计需求。
• 威胁检测与响应：结合Uptycs平台的威胁情报，对异常数据进行关联分析，实现早期威胁发现与响应。

适用范围

• 需要对Kubernetes集群进行安全监控的企业或组织。
• 运行关键业务的Kubernetes集群，需保障节点与容器安全的场景。
• 需满足安全合规性要求（如***、***等行业）的Kubernetes环境。

使用方法与配置说明

部署准备

1. 确保Kubernetes集群版本≥1.16（支持daemonset及相关API）。
2. 已注册Uptycs平台账户，并获取平台接入所需的认证信息（如API密钥、平台地址等）。
3. 集群节点可访问Uptycs平台地址及容器镜像仓库（如Uptycs私有仓库或公共镜像源）。

部署方式

推荐通过Kubernetes YAML配置文件部署daemonset，示例如下：

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: uptycs-osqueryd
  namespace: uptycs
spec:
  selector:
    matchLabels:
      app: uptycs-osqueryd
  template:
    metadata:
      labels:
        app: uptycs-osqueryd
    spec:
      hostPID: true  # 需访问主机PID命名空间以采集进程信息
      containers:
      - name: osqueryd
        image: uptycs/osqueryd-k8s:latest  # 替换为实际镜像版本
        env:
        - name: UPTYCS_HOST
          value: "[***]"  # Uptycs平台地址
        - name: UPTYCS_USERNAME
          valueFrom:
            secretKeyRef:
              name: uptycs-credentials
              key: username  # 从secret获取用户名
        - name: UPTYCS_PASSWORD
          valueFrom:
            secretKeyRef:
              name: uptycs-credentials
              key: password  # 从secret获取密码
        volumeMounts:
        - name: var-lib-kubelet
          mountPath: /var/lib/kubelet
          readOnly: true  # 挂载kubelet目录以采集容器信息
        - name: etc-kubernetes
          mountPath: /etc/kubernetes
          readOnly: true  # 挂载K8s配置目录
        - name: rootfs
          mountPath: /host
          readOnly: true  # 挂载主机根文件系统（只读）
      volumes:
      - name: var-lib-kubelet
        hostPath:
          path: /var/lib/kubelet
      - name: etc-kubernetes
        hostPath:
          path: /etc/kubernetes
      - name: rootfs
        hostPath:
          path: /

环境变量配置

自定义查询配置

可通过ConfigMap挂载自定义Osquery查询规则，示例ConfigMap配置：

apiVersion: v1
kind: ConfigMap
metadata:
  name: osquery-queries
  namespace: uptycs
data:
  custom_queries.conf: |
    # 检测异常特权容器
    SELECT * FROM containers WHERE privileged = 1;
    # 监控节点开放端口
    SELECT port, protocol, process FROM listening_ports WHERE port > 1024;

在daemonset中挂载该ConfigMap：

volumeMounts:
- name: custom-queries
  mountPath: /etc/osquery/custom-queries
  readOnly: true
volumes:
- name: custom-queries
  configMap:
    name: osquery-queries

验证部署

部署后，可通过以下命令检查daemonset状态：

kubectl get daemonset -n uptycs uptycs-osqueryd

查看Pod日志确认运行状态：

kubectl logs -n uptycs <osquery-pod-name> -c osqueryd

注意事项

• 需确保daemonset具备足够权限访问主机文件系统及Kubernetes API（建议使用RBAC配置最小权限）。
• 挂载主机目录时需设置readOnly: true以降低安全风险。
• 定期更新镜像版本以获取最新安全补丁及功能优化。