Анализ Audit Log в Kubernetes

Всем привет!

Да, по умолчанию Kubernetes не логирует какую-либо активность в кластере. Однако, можно написать Audit Policy и получать достаточно много данных.

Но что с ними делать? Ведь данные ради данных – подход крайне странный. Примеры ответов на вопрос можно найти в статье.

Авторы разбирают примеры:
🍭 Activity in the K8S Control Plane
🍭 Unauthenticated/Anonymous Kubernetes API Request
🍭 Unauthorized Kubernetes Pod Execution
🍭 Unauthorized Kubernetes Pod Attachment
🍭 Kubernetes Cron Job Created or Modified и не только

Для каждого примера описывается причина – «Почему это важно для нужд ИБ?» и пример лога Audit Policy, который может потребоваться. Также материал можно использовать для создания/адаптации существующих у Вас Audit Policy