Обсудить проект_
Если у вас есть ИТ-проблема, напишите нам в Telegram или оставьте ваши контакты, и мы свяжется с вами для детального обсуждения задачи
Security Observability для Kubernetes-кластера
Обычный мониторинг отвечает на вопрос "всё ли работает". Он ничего не знает про вопрос "а не влез ли кто-то внутрь". Любая ошибка в этом месте означает не тормозящий сервис, а незамеченную атаку — цена ошибки принципиально другая, поэтому и подход нужен другой.
Продукт:
Кластер Kubernetes заказчика и коробочное решение, разворачиваемое в Kubernetes, которое поставляется клиентам.
Задача:
Нужна была не "ещё одна метрика в Grafana", а система, закрывающая конкретные security-кейсы: попытки залезть в чужой процесс и вытащить оттуда креды, запуск постороннего бинарника внутри контейнера, чтение чужого секрета, скрытый туннель наружу, аномальный объём передаваемых данных, сканирование внешней сети изнутри, подозрительный доступ к API Kubernetes, захват аккаунта, подмена IP за прокси, всплеск ошибок как индикатор атаки.
Итоги:
Система в реальном времени отслеживает все перечисленные векторы атак. Можно безопасно воспроизвести ситуации на живом кластере.
Список кейсов не финальный: архитектура позволяет добавлять новые правила и угрозы поверх существующих, без переделки с нуля.
Список кейсов не финальный: архитектура позволяет добавлять новые правила и угрозы поверх существующих, без переделки с нуля.
- 29 правил детекта
- 6+ тактик атакующих по MITRE ATT&CK
- реакция на угрозу от 30 секунд
- для критичных случаев автоматическое завершение процесса
Период работы:
01.09.2026 - 05.10.2026
Команда:
1 Тимлид, 1 Сениор DevOps, 2 QA инженера, архитектор
Инструменты:
- Falco: события процессов и системных вызовов в реальном времени
- falco-talon: автоматическое реагирование, вплоть до завершения вредоносного процесса в поде
- NetObserv: анализ сетевого трафика
- Loki: разбор логов приложений на подозрительное поведение
- Prometheus: сбор метрик и алертов
- Alertmanager: единый поток алертов с группировкой, без спама
- Grafana: единая картина по всем кейсам; алерты приходят с описанием, что произошло и что делать
Решение:
Мы собрали стек защиты кластера из открытых компонентов, каждый под свою часть задачи: Falco смотрит на уровне процессов и системных вызовов в реальном времени; NetObserv — на сетевой трафик; Loki разбирает логи приложений на подозрительное поведение; Prometheus с Alertmanager собирают события в один поток алертов с нормальной группировкой, без спама; falco-talon реагирует автоматически на самое опасное — вплоть до того, чтобы самому завершить вредоносный процесс прямо в поде, не дожидаясь дежурного; Grafana даёт единую картину по всем кейсам; алерты приходят с готовым описанием, что произошло и что делать, а не голым логом.
В конечном итоге, к результату решено было двигаться итерациями. Это не был один проход "настроили и сдали" — набор кейсов и архитектурных решений разрастался в процессе работы и несколько раз уже принятое решение приходилось пересматривать вместе с архитектором заказчика заново, когда живая проверка на кластере показывала, что первоначальное предположение было неверным. Например, одна категория кейсов изначально казалась жёстко привязанной к конкретному демо-приложению — и только построчная сверка с реальными продовыми конфигами показала, что логика обобщается на любое приложение в компании. Фокус при разработке был нацелен на то, что каждое решение подтверждено делом на живом кластере, даже если это требовало вернуться и переделать то, что уже считалось закрытым.
В конечном итоге, к результату решено было двигаться итерациями. Это не был один проход "настроили и сдали" — набор кейсов и архитектурных решений разрастался в процессе работы и несколько раз уже принятое решение приходилось пересматривать вместе с архитектором заказчика заново, когда живая проверка на кластере показывала, что первоначальное предположение было неверным. Например, одна категория кейсов изначально казалась жёстко привязанной к конкретному демо-приложению — и только построчная сверка с реальными продовыми конфигами показала, что логика обобщается на любое приложение в компании. Фокус при разработке был нацелен на то, что каждое решение подтверждено делом на живом кластере, даже если это требовало вернуться и переделать то, что уже считалось закрытым.
Обсудить проект _
Если у вас есть ИТ-проблема, оставьте свои контакты, и мы поможем спланировать ее решение. Обещаем не рассылать спам.
Нажимая, я говорю «Да» конфиденциальности и соглашаюсь с обработкой персональных данных
Контакты _
