CKS1.23 考试题整理（11）-使用 sysdig 检查容器里里的异常进程

题目

使用运行时检测工具来检测 Pod tomcat 单个容器中频发生成和执行的异常进程

有两种工具可供使用：

l sysdig

l falco

注： 这些工具只预装在cluster的工作节点，不在 master 节点。

使用工具至少分析30秒 ，使用过滤器检查生成和执行的进程，将事件写到 /opt/KSR00101/incidents/summary文件中，

其中包含检测的事件， 格式如下：

[timestamp],[uid],[processName]

保持工具的原始时间戳格式不变。

注： 确保事件文件存储在集群的工作节点上。

参考

无

解答

1 找到container id

docker ps | grep tomcat

2

sysdig -M 30 -p "%evt.time,%user.uid,%proc.name" container.id=查出来的id> /opt/KSR00101/incidents/summary

可以用sysdig -l来查看帮助（基本上就够了）

官网地址 https://github.com/draios/sysdig/wiki/sysdig-user-guide