分析 Kubernetes 审计日志
io.github.mukul975/Anthropic-Cybersecurity-Skills/analyzing-kubernetes-audit-logs
解析 Kubernetes API server 审计日志(JSON 行),检测 exec 进 pod、secret 访问、RBAC 修改、特权 pod 创建与匿名 API 访问,并从事件模式构建 SIEM 检测规则。适用于调查疑似集群入侵、还原攻击者经由 API server 的操作,或编写 Kubernetes 专项检测内容。关键词:审计策略、审计日志、kube-apiserver、exec into pod、RBAC 变更、匿名访问、检测规则。不要用于运行中容器内的 syscall 级检测——那用 detecting-container-runtime-threats-with-falco。