精准捕获异常行为、建立可追溯证据链、实时阻断逃逸是K8s中Docker容器syscall审计核心，需联动内核层（eBPF+Seccomp）、运行时（containerd/dockerd日志）与K8s控制面（audit log），通过SCMP_ACT_LOG记录危险调用、eBPF关联容器元数据、审计日志闭环验证实现全链条追踪。
在 Kubernetes 环境中对 Docker 容器（实际由 runc 运行时承载）做全链条运行时系统调用审计，核心不是“记录所有 syscall”，而是**精准捕获异常行为、建立可追溯证据链、并实时阻断逃逸尝试**。这需要将内核层监控、容器运行时策略、K8s 控制面审计三者联动，而非简单开启日志。
启用 Seccomp 白名单 + 审计动作组合策略
Seccomp 是最直接的 syscall 过滤与审计入口。Kubernetes 1.19+ 原生支持 Pod 级 Seccomp 配置，关键在于不只“拒绝”，还要“记录”：
- 使用
SCMP_ACT_LOG替代SCMP_ACT_ERRNO或SCMP_ACT_KILL，让被拦截的危险调用（如ptrace、mount、chroot、open_by_handle_at）写入内核日志（dmesg），而非静默失败 - 在 Pod Security Policy（或更现代的 Pod Security Admission）中强制要求
seccompProfile.type: Localhost，并绑定统一策略文件（如audit-escape.json） - 示例策略片段（禁止 mount 但记录）：
{"name":"mount","action":"SCMP_ACT_LOG"}
通过 eBPF 实现无侵入式 syscall 行为追踪
eBPF 是实现全链条审计的技术底座，它绕过应用修改、不依赖容器内进程，直接在内核钩子点捕获真实行为：
- 加载 tracepoint 程序监听
sys_enter_*和sys_exit_*，关联容器元数据（cgroup ID → Pod UID → Namespace/Name） - 重点监控跨命名空间操作：如
setns调用是否来自非 init 进程、openat是否访问/proc/1/ns/或/host/proc类路径 - 结合
maps存储上下文（PID、comm、UID、cgroup path），输出结构化事件到用户态（如通过ringbuf推送至 Falco 或自研 collector）
对接 K8s Audit Log 与容器运行时事件闭环
单看 syscall 不足以定位攻击链，必须关联 K8s 控制面动作：
- 开启 kube-apiserver 的
--audit-policy-file，记录create pod、exec、attach等高危请求，并启用RequestResponse级别获取容器启动参数（如是否含--privileged、--cap-add=SYS_ADMIN、挂载/proc或/host） - 采集 containerd 或 dockerd 的运行时日志（
level=debug），提取StartContainer事件中的 OCI spec，比对实际生效的 capabilities、selinux opts、seccomp profile 路径 - 当 eBPF 捕获到
ptrace(PTRACE_ATTACH)且该进程属于某 Pod，立即反查 kube-apiserver audit log 中该 Pod 的创建时间、用户、ServiceAccount —— 判断是否为合法调试行为
构建可执行的逃逸证据链分析视图
审计价值取决于能否快速还原攻击路径。建议聚合以下字段生成每条 syscall 事件：
- 容器维度：Pod Name、Namespace、Node IP、Container ID、Image Digest
- 进程维度：PID、PPID、Comm（命令名）、UID/GID、Capabilities bounding set
- syscall 维度：Syscall name、Args（如 mount flags、target path）、Return code、Timestamp（纳秒级）
- 上下文标记：是否在特权容器中、是否挂载宿主机 /proc 或 /sys、是否启用 user namespace remapping
