BSides NYC 2023 был представлен доклад "Analyzing volatile memory on a Google Kubernetes Engine node" (статья, видео, репа) от ребят из Spotify. В принципе из названия понятно, что речь идет об анализе памяти снятой во время инцидента для последующего расследования. Для этого они делают следующее:1) Создание
kernel memory dump (работа с /proc/kcore)2) Получение символов для данного ядра (причуды
COS и не документированное API)3) Анализ
kernel memory dump Это они показывают на примере
3 open-source инструментов: AVML, dwarf2json, Volatility 3. Не всегда и везде это, конечно, получиться провернуть, но как вариант почему бы и нет.У себя в Luntry мы уже реализовали подобное с рядом особенностей, обходящих ограничений такого подхода. На пример, нет смысла снимать дамп для всей
Node, когда экономичнее все сделать для конкретного контейнера и все.