测验：运行时安全与审计

如何评估审计政策的规则？

• 从上面进行评估并仅应用第一个匹配规则。
• 评估所有规则并应用最高级别
• 自下而上评估并应用最终的匹配规则
• 无论规则顺序如何，都应用最具体的规则

如果我在 Secret 资源中指定 level: RequestResponse 会发生什么？

• 审核日志大小增加，但不存在安全问题。
• API服务器拒绝Secret查询。
• etcd 加密已禁用
• 秘密值按原样记录在审核日志文件中。

哪种标志组合可以防止 API 服务器因审核日志填满磁盘而停止？

• --audit-policy-file, --audit-log-path
• --audit-log-maxage, --audit-log-maxbackup, --audit-log-maxsize
• 一个 --audit-webhook-config-file 就足够了
• --audit-log-format=json

为什么 Falco 可以捕获审核日志无法捕获的内容？

• 因为存储周期比审计日志短
• 因为它直接读取etcd
• 因为它观察内核系统调用，所以它还显示未通过 API 服务器的操作。
• 这是因为它监视 kubelet 的只读端口。

在节点中使用 crictl 时要保持的正确边界是什么？

• 它用于诊断，但状态更改是通过 kubectl 完成的。如果用crictl删除的话，kubelet识别和实际状态会不一样。
• 当您想要重新启动容器时，最快的方法是使用 crictl rm 删除它。
• 因为 crictl 通过 API 服务器，所以它总是给出与 kubectl 相同的结果。
• crictl 只能用于搜索图像

一个 crictl 命令需要数十秒才能执行任何操作。最可能的原因是什么？

• 节点的磁盘 I/O 已饱和
• 没有指定运行时端点，因此已知的候选套接字将被一个接一个地尝试。
• 审核日志级别设置为RequestResponse
• 容器过多

发现受感染的 Pod 时正确的响应顺序是什么？

• 立即删除 pod 并使用新镜像重新部署
• 重新启动节点以重置运行时状态
• 收集证据 → 使用 NetworkPolicy 隔离 → 确定侵权范围 → 修复漏洞后重新分发
• 创建一个新的整个集群并从备份中恢复