电子取证 预计阅读 3 分钟

云原生时代的电子取证：容器与 Serverless 场景下的取证挑战

电子取证 云原生 容器取证 Serverless Kubernetes
目录

引言

传统的电子取证流程有一个明确的起点：关掉计算机 → 拆硬盘 → 制作镜像 → 分析。但在云原生环境下，这个流程处处碰壁——容器随时销毁、Pod 自动漂移、Serverless 函数执行完就消失。

根据 SANS 的调查，超过 70% 的取证分析人员认为云原生环境带来了全新的取证挑战。本章梳理容器和 Serverless 场景下的取证方法、工具链和实践指南。

容器取证的关键差异

与传统虚拟机取证相比，容器取证面临三个根本性差异：

维度 虚拟机取证 容器取证
持久性 VM 磁盘长期存在 容器销毁后数据即消失
隔离性 独立内核 共享宿主机内核
数据位置 集中在磁盘 分布在 OverlayFS 各层
状态捕获 快照/Suspend 需要实时介入

容器取证技术

现场（Live）取证

容器运行时的现场取证是捕获证据的关键时机。以下命令组可以在几秒内完成现场数据采集：

# 1. 获取容器元数据
docker inspect <container_id> > container-info.json

# 2. 导出容器文件系统
docker export <container_id> -o container-filesystem.tar

# 3. 导出容器日志
docker logs <container_id> > container-stdout.log
docker logs --timestamps <container_id> > container-stdout-ts.log

# 4. 获取进程信息
docker top <container_id>

# 5. 获取资源使用记录
docker stats --no-stream <container_id>

# 6. 提交容器快照（将当前状态保存为新镜像）
docker commit <container_id> forensics-snapshot:latest
docker save forensics-snapshot:latest -o forensics-snapshot.tar

容器文件系统分析

容器的文件系统与传统操作系统不同。OverlayFS 的分层结构意味着"删除的文件"和"修改的文件"都在各层中留下了痕迹：

# 查看容器的挂载信息
docker inspect --format '{{.GraphDriver.Data.UpperDir}}' <container_id>

# 分层导出
# 每一层包含该层新增、修改、删除的文件信息
docker history --no-trunc <image_name>

# 分析层间差异
container-diff analyze <image_name> --type=file
container-diff analyze <image_name> --type=history

Dive 是一个优秀的镜像层分析工具，可以可视化地查看每一层增减的文件：

dive <image_name>

Kubernetes 集群取证

K8s 环境下的取证比单机容器更复杂——需要从集群维度收集证据。

资源定义获取

# 收集所有的资源 YAML（取证快照）
kubectl get all --all-namespaces -o yaml > cluster-snapshot.yaml

# 获取事件时间线
kubectl get events --all-namespaces --sort-by='.lastTimestamp' > cluster-events.txt

# 获取节点状态
kubectl describe nodes > cluster-nodes.txt

# 获取 Pod 日志
kubectl logs <pod_name> -n <namespace> --tail=1000 > pod-logs.txt
kubectl logs <pod_name> -n <namespace> --previous > pod-previous-logs.txt

--previous 参数非常关键——如果容器已经重启，当前日志是空白，但上一个容器的日志仍然可以通过这个参数获取。

etcd 取证

etcd 存储了集群的全部状态。在取证场景下，备份 etcd 可以获取集群的完整快照：

# 创建 etcd 快照
ETCDCTL_API=3 etcdctl snapshot save \
  --cacert=/etc/kubernetes/pki/etcd/ca.crt \
  --cert=/etc/kubernetes/pki/etcd/server.crt \
  --key=/etc/kubernetes/pki/etcd/server.key \
  /tmp/etcd-snapshot.db

# 查看快照中的资源
ETCDCTL_API=3 etcdctl --write-out=table snapshot status /tmp/etcd-snapshot.db

K8s 审计日志分析

API Server 的审计日志是 K8s 取证的核心数据源。一条典型的审计日志包含：

{
  "kind": "Event",
  "level": "RequestResponse",
  "user": { "username": "admin@example.com" },
  "verb": "create",
  "objectRef": {
    "resource": "pods",
    "namespace": "production",
    "name": "malicious-pod"
  },
  "sourceIPs": ["10.0.1.100"],
  "responseStatus": { "code": 201 },
  "stageTimestamp": "2026-06-15T03:14:00Z"
}

通过审计日志可以还原攻击者的完整操作序列：登录时间、创建了哪些资源、访问了哪些 Secret、是否创建了后门 ServiceAccount。

Serverless 取证

Serverless 场景的取证是最具挑战性的——函数执行完成后环境即被销毁，几乎没有任何持久化数据可供事后分析。

可用的数据源

虽然函数环境不可持久化，但以下数据源仍然可以为取证提供线索：

  1. 函数日志：CloudWatch Logs / 阿里云 SLS 中的函数调用日志
  2. 调用记录：API Gateway 或触发器的调用追踪
  3. 执行上下文：函数每次调用的 Request ID、开始时间、持续时间
  4. 环境变量：函数配置中的环境变量（可能包含密钥）
  5. VPC 流日志：函数访问 VPC 资源的网络行为记录

Serverless 取证流程

事件告警 → 冻结函数版本 → 导出日志 → 分析调用链 → 关联其他服务
           ↓
        保留执行环境快照（部分云厂商支持）
  • AWS Lambda 支持通过 aws lambda get-function --qualifier "1" 获取已发布版本的代码和配置
  • 阿里云函数计算可以通过控制台查看函数调用日志和链路追踪
  • 关键原则：发现问题后立即暂停函数，防止日志被新调用淹没

容器取证的工具链

工具 用途 是否开源
Docker CLI 现场取证基础命令 是
Dive 镜像层分析 是
container-diff 镜像差异对比 是
Falco 运行时事件记录 是
kube-forensics K8s 集群取证 是
Kubescape 集群安全扫描 是
etcdctl etcd 快照备份 是

证据的完整性保障

云原生环境下证据完整性面临独特的挑战：

  1. 实时性要求：现场取证必须在容器销毁前完成
  2. 取证工具本身的污染：kubectl、docker 命令的执行会产生新的审计日志
  3. 分布式时间同步：集群各节点的时间需要 NTP 同步，否则时间线重建会出现偏差
  4. 链式 custody：电子证据的保管链需要包含云平台的操作记录

实践中，建议编写自动化的取证剧本（Playbook），在检测到安全事件时自动执行现场取证：

#!/bin/bash
# 自动化取证脚本示例
EVIDENCE_DIR="/evidence/$(date +%Y%m%d_%H%M%S)"
mkdir -p $EVIDENCE_DIR

# 1. 记录时间戳
date -u > $EVIDENCE_DIR/timestamp.txt

# 2. 采集集群快照
kubectl get all -A -o yaml > $EVIDENCE_DIR/cluster-snapshot.yaml
kubectl get events -A --sort-by='.lastTimestamp' > $EVIDENCE_DIR/events.txt

# 3. 可疑 Pod 取证
for POD in $(kubectl get pods -A | grep -i "Crash\|Error\|Evicted" | awk '{print $2":"$1}'); do
  NS=$(echo $POD | cut -d: -f2)
  NAME=$(echo $POD | cut -d: -f1)
  kubectl logs -n $NS $NAME --tail=5000 > "$EVIDENCE_DIR/logs_${NS}_${NAME}.txt"
  kubectl describe pod -n $NS $NAME > "$EVIDENCE_DIR/describe_${NS}_${NAME}.yaml"
done

# 4. 计算哈希
sha256sum $EVIDENCE_DIR/* > $EVIDENCE_DIR/sha256sums.txt

总结

云原生时代的电子取证需要从"事后磁盘取证"转向"事中实时取证"。核心要点：

  1. 自动化优先：手动操作来不及，必须编写自动化取证剧本
  2. 日志为王：容器无持久化存储，日志是主要证据源
  3. 关注控制面：K8s 审计日志记录了所有资源变更，是还原攻击链的核心
  4. 工具差异：传统取证工具（如 FTK、EnCase）在容器环境下基本无效，需要专用工具链

随着云原生技术的普及，取证技术也需要同步进化。理解容器和 Serverless 的架构特性，是取证分析人员面对云原生时代必须补上的基本功。