Detecção de intrusão em nós Kubernetes

• O chart roda o agente como um DaemonSet: um pod em cada nó, control plane incluído, implantado um nó de cada vez.
• Uma chave de cluster registra todos os nós. Crie-a no painel em Configurações › Kubernetes; ela começa com IFK- e só é mostrada uma vez. Revogá-la impede que novos nós entrem; os nós já registrados continuam funcionando.
• Cada nó aparece como um servidor próprio no painel, agrupado pelo nome do cluster. O Starter cobre um servidor, então só um nó pode se registrar; o Basic e os planos acima não têm limite e cobram um servidor por nó.

helm install infrafence-agent oci://ghcr.io/infrafence/charts/infrafence-agent \
  --namespace infrafence --create-namespace \
  --set apiKey="IFK-..." \
  --set clusterName="production"

Pré-requisitos: Kubernetes 1.22 ou mais recente e Helm 3. O painel mostra o mesmo comando já com a sua chave. Valores, atualizações e desinstalação estão em Kubernetes.

• O tráfego dos pods pode não passar pelas regras de firewall do nó. Os bloqueios valem onde o tráfego chega ao próprio nó (SSH, serviços do host, pods na rede do host, como um ingress controller com hostNetwork). O tráfego que o plugin CNI ou o kube-proxy encaminha para os pods pode não passar por INPUT nem por DOCKER-USER, onde estão as regras do agente. O painel avisa isso na página do nó.
• Nenhuma regra dentro do cluster. O agente não escreve NetworkPolicies, listas de bloqueio do ingress nem regras do CNI: os bloqueios ficam no iptables do nó.
• Não é um admission controller nem um monitor de syscalls em tempo de execução. Ele não verifica os manifests antes de rodarem e não rastreia chamadas de sistema dentro dos containers. Os controles do próprio Kubernetes, como o RBAC e as NetworkPolicies, continuam com você.
• Ele precisa de pods privilegiados com rede do host. Um cluster gerenciado que os proíbe não consegue rodar o chart.
• Os bloqueios, a whitelist e os bloqueios por país valem para IPv4.

• Um DaemonSet com rede do host, o namespace de PID do host e pods privilegiados, de que o agente precisa para gerenciar o firewall do nó e ver os processos dele.
• Uma ServiceAccount que pode ler pods, nós, eventos, namespaces, ConfigMaps, ingresses e NetworkPolicies, além de get e patch em DaemonSets, que o agente usa só para atualizar o próprio.
• Um Secret com a chave de cluster.
• Montagens do host: /var/log e os sockets do Docker e do containerd em somente leitura, e /etc/infrafence em leitura e escrita para o registro do nó.

O código do chart está no repositório do agente: charts/infrafence-agent. Se o ArgoCD ou o Flux gerenciam o cluster, desligue as atualizações automáticas e suba a tag da imagem no seu repositório:

autoUpdate:
  enabled: false

Cada versão também publica infrafence-agent-linux-amd64-k8s e infrafence-agent-linux-arm64-k8s: o agente compilado com o cliente do Kubernetes, como na imagem do chart, assinado como toda versão (Verificar uma versão). Os recursos de Kubernetes dele só são ativados quando ele roda num pod. Para um único host Docker, veja Segurança de hosts Docker.