为什么容器环境需要入侵检测
现在很多公司都用 Docker、Kubernetes 这类容器技术来跑业务，比如电商平台的订单服务、直播平台的弹幕系统。虽然方便了部署和扩展，但也带来了新的安全问题。一个被攻破的容器可能成为攻击者跳转到内网其他系统的跳板，而传统主机层面的防护工具往往看不到容器内部的异常行为。
入侵检测要盯住哪些关键点
在容器环境中，攻击者常通过恶意镜像、配置漏洞或应用层缺陷进入。一旦得手，可能会执行敏感命令（如 chmod 或 nc 反弹 shell）、修改系统文件、扫描内网端口。所以检测机制必须能捕捉进程启动、文件读写、网络连接等行为，并结合上下文判断是否异常。
选择合适的检测工具
Falco 是目前比较主流的开源方案，由 Sysdig 开发，支持 Kubernetes 原生集成。它基于系统调用做检测，能实时捕获容器内的异常活动。比如某个容器突然以 root 身份运行 sshd，或者在 /tmp 目录写入可执行文件，都能被规则触发告警。
Falco 部署实例
假设你正在维护一个 K8s 集群，可以通过 Helm 快速部署 Falco：
helm repo add falcosecurity https://falcosecurity.github.io/charts
helm repo update
helm install falco falcosecurity/falco --set "daemonset.enabled=true"这条命令会在每个节点启动一个 DaemonSet，监听该节点上所有容器的系统调用事件。默认规则已经覆盖了多数高风险行为，比如 shell 在容器中启动、文件删除、原始套接字使用等。
自定义检测规则示例
如果你的应用不允许任何 Python 脚本外连，可以加一条规则：
<rule id="1001" name="python-network-outbound">
<expression>
proc.name=python and evt.type=connect and not k8s.ns.name in (development,test)
</expression>
<desc>Detect Python outbound connection in production containers</desc>
</rule>保存后重启 Falco 组件即可生效。当生产环境的容器里 Python 尝试建立网络连接，就会生成日志并推送至你配置的告警渠道，比如 Slack 或 Prometheus + Alertmanager。
日志收集与可视化
光有检测还不够，得让信息看得见。可以把 Falco 的输出接入 ELK 或 Loki 栈，通过 Grafana 展示实时事件流。运维人员在值班时一眼就能看到是否有异常进程拉起或敏感目录被访问，就像查看监控摄像头一样直观。
避免误报的小技巧
刚上线时容易出现误报，比如 CI/CD 流水线中的构建容器本来就要编译代码、运行脚本。这时候可以通过命名空间打标签，把 dev、ci 这类环境排除在严格规则之外。也可以根据容器镜像签名做白名单，只对未签名镜像启用深度监控。
实际攻防场景还原
有一次某团队发现一个前端容器频繁尝试连接公网 IP 的 3306 端口。查日志发现是某个 npm 包被投毒，在启动时执行了一段隐藏脚本去扫描 MySQL 弱口令。因为部署了 Falco，这条 connect 行为被立即捕获，及时阻断了进一步渗透。如果没有容器层的检测，这种横向移动很可能被当成普通流量忽略掉。
持续更新规则库
攻击手法一直在变，旧规则可能漏掉新型 payload。建议定期同步社区维护的规则集，同时结合自身业务特点补充定制逻辑。比如金融类应用可加强对加密货币挖矿进程的识别，电商系统则重点关注 Webshell 特征字符串的匹配。