Docker原生不支持细粒度事件审计，但可通过docker events监听状态变更、ENTRYPOINT/trap嵌入审计逻辑、HEALTHCHECK联动事件、runc/systemd/eBPF实现运行时深度审计。
在 Docker 容器生命周期中，原生并不提供细粒度的“事件审计”机制（如容器启动前、网络就绪后、健康检查失败时等自动触发钩子），但可通过组合 Docker 内置事件流、容器生命周期命令（ENTRYPOINT/CMD）、健康检查（HEALTHCHECK）、外部监控工具及运行时钩子（如 dockerd 的 --exec-opt native.cgroupdriver=systemd 配合 systemd 服务单元）实现近似审计能力。
1. 利用 docker events 捕获核心状态变更
Docker daemon 提供实时事件流，覆盖容器创建、启动、停止、销毁、OOM、健康状态变化等关键节点：
-
典型事件类型：
create、start、die（正常退出）、destroy、oom、health_status: healthy/unhealthy、restart -
审计建议：
- 运行
docker events --filter 'event=start' --filter 'event=die' --format '{{json .}}'实时监听，并通过jq或日志系统（如 Fluentd / Filebeat）结构化入库 - 添加时间戳和主机标识：
--format 'time={{.Time}} host={{.Actor.Attributes.host}} container={{.Actor.ID}} event={{.Status}}' - 注意：该事件流不包含容器内部执行细节（如进程 PID、环境变量、挂载路径），仅反映 daemon 层面的状态跃迁
- 运行
2. 在容器启动/退出阶段嵌入审计逻辑
通过自定义 ENTRYPOINT 或封装启动脚本，在容器生命周期关键点主动记录上下文：
-
启动时审计：在 entrypoint 脚本开头写入日志，例如：
echo "$(date -u +%FT%TZ) [START] $HOSTNAME $(hostname -i) $@ >> /var/log/container-audit.log -
退出前审计：使用 trap 捕获信号，确保清理前记录退出原因：
trap 'echo "$(date -u +%FT%TZ) [STOP] exit=$? signal=$SIG" >> /var/log/container-audit.log' EXIT -
限制：无法捕获被
docker kill -9强制终止的容器的 EXIT 事件（无机会执行 trap）
3. 健康检查与状态跃迁联动审计
HEALTHCHECK 指令本身不触发事件，但其状态变化会广播为 health_status: 类型事件。可结合二者构建闭环审计：
- 在
Dockerfile中定义：HEALTHCHECK --interval=30s --timeout=3s --start-period=5s --retries=3 CMD curl -f http://localhost:8080/health || exit 1 - 监听
docker events --filter 'event=health_status'，当收到unhealthy事件时，立即调用docker inspect获取容器详细状态、网络配置、最近日志，存档分析 - 注意：健康检查失败不会自动停止容器，需额外策略（如上层编排器或自定义 watch 脚本）响应
4. 运行时深度审计：集成 runc / systemd / eBPF
若需审计容器内进程行为（如 exec 调用、文件打开、网络连接），需脱离 Docker API，深入运行时层：
-
runc hooks：在
config.json中配置prestart/poststop钩子，执行审计脚本（适用于手动管理容器） -
systemd 集成：将容器作为 systemd 服务运行（
docker run --init+systemd-run），利用journalctl -u my-container.service关联容器生命周期与系统日志 -
eBPF 工具：使用
pixie、inspektor-gadget或自定义 bpftrace 脚本，实时跟踪容器 PID namespace 内的系统调用，实现进程级行为审计
