Inspektor Gadget 运行时证据捕获

解决什么：普通遥测看不见的那一层

Pod 日志、容器指标和节点监控通常只能回答「发生了什么」，却很难告诉你内核里实际发生了什么。当需要为容器逃逸、异常挂载或未授权文件访问做取证时，依赖应用层日志往往会得到空白。eBPF 让内核事件可以直接被观测，但在 Kubernetes 集群里把 raw trace 变成有意义的证据并不顺手——你得手工编写 bpftrace、管理 CO-RE 程序，还要应对各节点的内核版本差异。这个技能把 Inspektor Gadget 封装成一组可重复执行的 named traces 与 snapshots，让排查者直接针对 pod、容器或节点采集运行时证据。

技能如何工作

• 以命名 Gadget 为触发单位：例如 trace_open 会在系统打开文件时产生事件，适合定位是哪个进程访问了敏感路径。
• 输入是一个明确的作用范围：pod、容器或节点。技能负责挑选并运行匹配的 Gadget，而不是让使用者临时拼装 bpftrace。
• 证据以 trace 与 snapshot 两种形态产出：trace 记录事件序列，snapshot 呈现某一时刻的状态，便于做事件前后的对照。
• 环境适配由 Inspektor Gadget 上游负责，技能聚焦于在已安装的前提下正确调用，不重复构建采集管线。

适用边界与注意点

• 前提是目标主机已安装 Inspektor Gadget，且执行者具备运行 gadget 的权限；内核版本、容器运行时和挂载配置都会影响事件能否被捕获。
• 集群通常会用安全机制限制可运行的 Gadget，采集前应确认策略没有阻塞你需要的 Gadget。
• Gadget 采集的是内核层证据，能补充但不能替代应用日志、审计策略与网络策略的排查；对加密流量或内核之外的行为无能为力。
• 采集本身有性能开销，建议先明确假设，再针对单个 Gadget 做短时采集，而不是长时间全量挂载。