4. 检测技术概览：基于快照的检测、基于审计日志的检测、基于eBPF的实时检测

容器运行时配置漂移的检测技术是自动化流水线中安全闭环的关键起点。根据数据采集方式、实时性及系统开销的不同，主流检测技术可分为三大类：基于快照的检测、基于审计日志的检测和基于eBPF的实时检测。每种技术都有其独特的适用场景与权衡。

4.1 三种检测技术核心对比

下表从数据源、实时性、性能开销、检测精度和典型工具五个维度，对三种技术进行横向对比，帮助你在设计流水线时做出技术选型决策。

4.2 基于快照的检测

基于快照的检测是最传统且最直观的方法。其核心思想是：在容器启动或部署时，记录一份黄金基线快照，然后在后续的巡检周期中，将当前容器的文件系统、配置、进程列表与基线快照进行比对，发现差异即视为配置漂移。

4.2.1 工作原理

1. 基线建立：在容器构建完成或首次部署后，对关键目录（如 /etc、/usr/local/bin、/app/config）进行哈希计算或文件属性记录，生成基线清单。
2. 周期性扫描：按照预设的时间间隔（如每5分钟、每小时），重新扫描目标容器的相同路径，生成当前快照。
3. 差异比对：将当前快照与基线快照进行逐文件比对，识别新增、删除、修改的文件或配置项。
4. 告警与恢复：发现漂移后，触发告警，并可调用恢复流程（如重新拉取镜像、应用ConfigMap）。

4.2.2 典型实现：Docker diff

Docker原生提供了 docker diff 命令，可以查看容器文件系统相对于镜像的变更。在自动化流水线中，可以将其封装为检测脚本：

#!/bin/bash
# 基于docker diff的配置漂移检测示例
CONTAINER_ID="your_container_id"
BASELINE_FILE="/tmp/baseline_${CONTAINER_ID}.txt"
CURRENT_FILE="/tmp/current_${CONTAINER_ID}.txt"

# 生成基线（首次运行）
if [ ! -f "$BASELINE_FILE" ]; then
    docker diff $CONTAINER_ID | sort > $BASELINE_FILE
    echo "基线已建立：$BASELINE_FILE"
    exit 0
fi

# 生成当前快照
docker diff $CONTAINER_ID | sort > $CURRENT_FILE

# 比对差异
DIFF_RESULT=$(diff $BASELINE_FILE $CURRENT_FILE)
if [ -n "$DIFF_RESULT" ]; then
    echo "检测到配置漂移："
    echo "$DIFF_RESULT"
    # 触发恢复流程
    # ./rollback.sh $CONTAINER_ID
else
    echo "配置无变化，状态正常。"
fi

4.3 基于审计日志的检测

基于审计日志的检测通过分析操作系统或容器编排平台产生的审计事件，来发现配置变更行为。与快照检测不同，它关注的是变更操作本身，而非变更后的文件状态。

4.3.1 数据源与流程

• Linux Audit (auditd)：监控系统调用，如 open、write、chmod、execve，记录谁在什么时间修改了哪些文件。
• Kubernetes Audit：记录对API Server的请求，包括创建Pod、修改ConfigMap、挂载Volume等操作。
• 检测流程：日志采集 → 日志解析 → 规则匹配 → 漂移判定 → 告警/阻断。

4.3.2 规则示例（Falco审计日志模式）

# Falco规则：检测容器内/etc/shadow文件被修改
- rule: Container Shadow File Modification
  desc: Detect any attempt to modify /etc/shadow inside a container
  condition: >
    evt.type in (open, openat, write) and
    fd.name contains /etc/shadow and
    container.id != host
  output: >
    Sensitive file modified in container
    (user=%user.name command=%proc.cmdline file=%fd.name container=%container.id)
  priority: CRITICAL

4.4 基于eBPF的实时检测

eBPF（extended Berkeley Packet Filter）是一项革命性的内核技术，允许用户在内核中安全地运行沙箱化程序。基于eBPF的检测技术将检测逻辑下沉到内核态，实现了零侵入、高性能、全事件捕获的实时监控能力。

4.4.1 技术架构

下图展示了基于eBPF的容器运行时检测架构。eBPF程序挂载在内核的系统调用入口和出口，捕获所有容器进程的敏感操作，并通过perf事件缓冲区或map结构将事件传递到用户态检测引擎。

4.4.2 关键能力与优势

• 全事件捕获：可以捕获所有系统调用，包括文件操作、网络连接、进程创建、权限变更等，不漏掉任何一次配置变更。
• 容器上下文感知：通过cgroup ID或PID命名空间，eBPF程序可以精确区分事件属于哪个容器，实现多租户隔离监控。
• 低延迟告警：从事件发生到用户态检测引擎收到通知，延迟通常在微秒级，适合对时间敏感的安全场景。
• 无需修改应用：eBPF程序在内核态运行，对容器内的应用完全透明，无需注入Agent或Sidecar。

4.4.3 检测规则示例（Falco eBPF驱动）

# Falco规则：检测容器内启动非白名单shell
- rule: Container Drift - Unexpected Shell
  desc: Detect shell execution inside container that is not in the allowed list
  condition: >
    evt.type = execve and
    proc.name in (bash, zsh, sh, dash) and
    container.id != host and
    not proc.name in (allowed_shells)
  output: >
    Unexpected shell started in container
    (user=%user.name command=%proc.cmdline container=%container.id)
  priority: CRITICAL
  tags: [drift, shell, container]

4.5 三种检测技术的协同工作流

在实际的自动化流水线中，三种检测技术并非互斥，而是形成分层协同的防御体系。下图展示了从构建到运行时的完整检测工作流。