Jak eksportować dzienniki audytowe Kubernetes

Gdzie znajdują się dzienniki audytów Kubernetes, zależy od tego, kto zarządza twoim panelem kontrolnym. Na klastrze zarządzanym lokalnie są one plikiem JSON-lines na węźle panelu kontrolnego, w ścieżce wskazywanej przez –audit-log-path. Na EKS trafiają do CloudWatch Logs, na AKS do przestrzeni roboczej Log Analytics lub konta magazynu, a na GKE do Cloud Audit Logs. Jedna rzecz wszędzie się zgadza: audytowanie musi być włączone. Na klastrach zarządzanych lokalnie i EKS jest wyłączone, dopóki ktoś tego nie włączy.

Dziennik audytu rejestruje każde żądanie do API Kubernetes: kto uruchomił kubectl exec do którego poda, kto przeczytał jaki sekret, kto przypisał się do cluster-admin. Prime Core ma 93 reguły detekcji dla danych audytowych Kubernetes, przypisane do 220 technik MITRE ATT&CK. Wśród nich: exec do działających kontenerów (T1609), wdrażanie nieautoryzowanych kontenerów (T1610) i czytanie poświadczeń przez API kontenery (T1552.007).

Rozpocznij bezpłatnie

Zanim zaczniesz

Czy jest włączony?

Jeśli nie było włączone, nie ma nic do wyeksportowania z przeszłości i reszta tego przewodnika dotyczy przyszłości.

Szczegóły zależą od polityki. Na poziomie Metadata widzisz, kto co zrobił w którym obiekcie. Na poziomach Request lub RequestResponse widzisz także treści, na przykład specyfikację poda, który zażądał privileged: true. Wiedz, który poziom masz, zanim zaczniesz szukać.

Oczekuj dużej ilości danych. Kontrolery i konta usługowe ciągle rozmawiają z API. Na AKS kube-audit-admin pomija tylko do-odczytu get i list, co sprawia, że rozmiar jest rozsądny, ale także ukrywa czytanie sekretów.

Eksportuj to

Klaster samodzielnie zarządzany, na węźle panelu kontrolnego:

# najpierw potwierdź ścieżkę

sudo grep -- '--audit-log-path' /etc/kubernetes/manifests/kube-apiserver.yaml


sudo cat /var/log/kubernetes/audit/audit.log > k8s_audit.jsonl

Obok niego znajdują się pliki rotowane (z –audit-log-maxbackup) z nazwą zawierającą znacznik czasu. Uwzględnij je, jeśli okno sięga wstecz.

EKS, z CloudWatch Logs:

aws logs filter-log-events --log-group-name /aws/eks/my-cluster/cluster 

  --log-stream-name-prefix kube-apiserver-audit 

  --start-time $(date -d '2026-10-19T00:00:00Z' +%s000) --end-time $(date -d '2026-10-20T00:00:00Z' +%s000) 

  --output json | jq -c '.events[].message | fromjson' > eks_audit_1019.jsonl

Każde zdarzenie CloudWatch zawija wpis audytu jako łańcuch; fromjson go rozwija. Syntax date -d jest GNU; na macOS, oblicz znaczniki czasu w milisekundach w inny sposób.

AKS, z Log Analytics (tabele specyficzne dla zasobów):

az monitor log-analytics query -w  

  --analytics-query "AKSAuditAdmin | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20))" 

  --output json > aks_audit_1019.json

GKE, z Cloud Audit Logs:

gcloud logging read 'resource.type="k8s_cluster" AND logName:"cloudaudit.googleapis.com" AND timestamp>="2026-10-19T00:00:00Z" AND timestamp<"2026-10-20T00:00:00Z"' 

  --project=my-project --format=json | jq -c '.[]' > gke_audit_1019.jsonl

Czego szukać

Prześlij, zdezynfekuj i przejrzyj w LogTotal

1. Prześlij. Otwórz logtotal.com i wrzuć plik .jsonl.
2. Zdezynfekuj. [what gets masked: usernames, service account names, source IPs, namespaces, object names]. Look it over before you continue.
3. Przejrzyj.

Kiedy coś pójdzie źle