KubeSeccomp 工作负载安全画像

从 eBPF 实际行为生成每个工作负载专属的 seccomp 与网络策略

痛点

很多团队在生产里仍使用运行时默认的 seccomp 配置，没人真正知道自己的 Pod 调用了哪些系统调用，也不清楚容器实际访问了哪些网络端点。有人因此和同事手动采集、审计 syscall 再拼出一份专用清单，过程繁琐且难以持续维护。默认 profile 要么过宽失去防护意义，要么过窄导致业务崩溃。

方案

提供一个轻量 agent，通过 eBPF 监听目标工作负载一段时间，自动统计实际使用的 syscall 与网络连接，生成可直接应用的 seccomp profile 和 NetworkPolicy，并给出「过宽/过窄」风险提示。支持按命名空间或工作负载一键采样，输出 YAML 并附带对比报告。

用户

使用 Kubernetes 的中小平台/安全工程师，特别是没有专职安全团队但需要过合规与审计的团队

MVP

eBPF 采集单个命名空间内的 syscall 与连接；生成 seccomp profile 和 NetworkPolicy YAML；提供与默认 profile 的差异对比；支持导出报告；仅支持 Linux + 主流容器运行时

变现

按集群节点数订阅，开源核心采集器，企业版提供多集群汇总、合规报告与告警；也可按扫描次数计费

为何现在

eBPF 工具链成熟，Kubernetes 安全合规要求上升，但大厂产品重心在运行时防护而非「生成配置」，独立开发者用 Go 加 libbpf 几周就能做出可用版本