Announcing Wiz Runtime Sensor add-on for GKE: Turnkey threat detection for Kubernetes

Wiz Sensor for GKE：面向Kubernetes的开箱即用威胁检测 | Google Cloud 博客

安全与身份

宣布推出 GKE 的 Wiz 运行时传感器插件：面向 Kubernetes 的开箱即用威胁检测

2026年10月17日

##### Daniel L’Hommedieu

高级产品经理

##### Shahar Yakov

Wiz 产品团队负责人

##### 今天试用 Gemini

职场人工智能的入口

立即试用

在人工智能时代，一切都在加速，包括安全威胁。过去攻击者需要数周时间才能利用的漏洞，现在可能只需几分钟就能完成。

针对静态工件的标准漏洞扫描可以发现基础配置问题，但要检测正在发生的攻击，需要实时的运行时保护。

今天，我们推出 Google Kubernetes Engine（GKE）的 Wiz 运行时传感器插件（预览版）。这项原生集成功能为标准版和自动版 GKE 集群带来了低干预部署、自动化生命周期管理、企业凭证安全和全舰队治理，使 Wiz 领先行业的 eBPF 运行时威胁检测能力更易使用。

运行时安全的操作摩擦

在集群内部署运行时防御时，安全团队和平台工程团队面临共同的困境：

• 部署和生命周期摩擦：部署运行时代理通常需要跨数十甚至数百个集群管理来自第三方源的安装。

• 凭证扩散和安全风险：通过 Kubernetes Secret 传递和轮换 API 密钥会带来管理负担和安全风险。

• 全舰队执行缺口：平台团队缺乏内置的策略控制，无法强制要求每个新集群在部署工作负载并开始接收流量前启用运行时传感器。

• 性能和操作开销：如果没有明确且策略性的资源限制，运行时代理可能会影响工作负载和系统功能可用的 CPU 和内存数量。

通过 GKE 的 Wiz 运行时传感器，Google Cloud 与 Wiz 共同减少了这些操作障碍。运行时传感器现已作为第一方托管平台插件在 GKE 中提供。

通过 GKE 的 Wiz 运行时传感器弥合差距

GKE 的 Wiz 运行时传感器通过简化和自动化传感器生命周期，将核心安全与平台工程工作流连接起来。

图1：展示凭证同步、传感器部署和威胁遥测的高层架构图。

通过该插件，GKE 管理传感器部署、凭证注入和生命周期更新。将运行时保护直接构建到平台中可减少管理开销，为您的 Kubernetes 队伍带来以下优势：

原生 Secret Manager 集成：安全团队不再需要将 Wiz API 密钥分发到集群命名空间。该插件使用 GKE 的 Secret Manager 密钥同步集成，将您的 Wiz 凭证存储在集群外的集中式凭证保险库中，只有专用服务账户可以访问。

GKE 会自动检索这些凭证并直接注入到运行时传感器 Pod 中。在 Secret Manager 中更新密钥会自动同步到传感器，无需重启集群或人工干预。

• 简化启用流程：在将 Wiz 凭据添加到 Secret Manager 后，平台管理员可以通过 gcloud CLI 或 GKE API 启用 Runtime Sensor 插件。GKE 控制平面负责部署传感器组件、管理 Pod 生命周期以及配置节点。

• 安全出口和代理支持：对于限制公共互联网访问的环境，托管传感器支持标准 HTTP 和 mTLS 代理配置。遥测数据可回传至 Wiz，而不会违反出口防火墙策略。

• 基于组织策略的全集群治理：平台安全负责人可通过自定义组织策略约束，在整个组织内强制执行合规性。您可以使用约束规则拒绝创建未启用 Runtime Sensor 插件的任何集群，从而防止恶意行为者启动逃避运行时检测的流氓基础设施。

• 内核级可观测性且开销极低：Wiz Runtime Sensor 持续监控系统调用、运行进程、网络连接和文件访问。它能够检测可疑活动（包括反向 shell、未授权权限提升、容器逃逸和不安全的出站连接），即使在高负载场景下也能保持低 CPU 使用率。传感器在每个节点上使用固定内存限制，确保工作负载密度变化时性能保持稳定。这对于 AI 工作负载和 Web 服务尤其有价值，因为这些场景的应用活动可能会快速波动。

• 独立自动更新：安全威胁和零日漏洞不会等待计划的基础设施维护窗口。Wiz 传感器插件的生命周期独立于 GKE 集群和节点生命周期。传感器会定期推送 Wiz 发布的新版本传感器更新，帮助确保集群始终具备最新的检测规则，无需升级 GKE 版本、重建节点池或中断工作负载。

工作原理：部署和强制执行传感器

启用 Wiz 传感器插件的过程与平台管理员在 GKE 上已熟悉的流程一致。通过标准的 gcloud 命令，您可以在集群创建时激活运行时保护、为现有集群启用该功能，并在全集群范围内强制执行，同时保持 Secret Manager 中凭据的安全管理。

查看设置文档以了解先决条件，例如授予 GKE 访问 Secret Manager 的权限。

使用 Wiz Sensor 插件部署集群

要使用存储在 Secret Manager 中的凭据部署启用托管 Wiz 传感器的新 GKE 集群：

加载中...

gcloud container clusters create production-ai-cluster \ --zone=us-central1-a \ --release-channel=regular \ --workload-pool=${PROJECT_ID}.svc.id.goog \ --enable-secret-sync \ --enable-secret-sync-rotation \ --addons=WizSensor=ENABLED \ --wiz-sensor-registry-secret-uri=projects/${PROJECT_ID}/secrets/wiz-registry-secret/versions/latest \ --wiz-sensor-api-key-secret-uri=projects/${PROJECT_ID}/secrets/wiz-api-key-secret/versions/latest

要在已运行的现有集群上启用传感器（该集群已启用 GKE 工作负载身份联邦和 Secret Manager 密钥同步），请运行以下命令：

gcloud container clusters update production-ai-cluster \
 --zone=us-central1-a \
 --update-addons=WizSensor=ENABLED \
 --wiz-sensor-registry-secret-uri=projects/${PROJECT_ID}/secrets/wiz-registry-secret/versions/latest \
 --wiz-sensor-api-key-secret-uri=projects/${PROJECT_ID}/secrets/wiz-api-key-secret/versions/latest

通过组织策略实施全舰队保护

您可以通过部署自定义约束，要求组织内所有新创建的GKE集群安装运行时传感器：

name: organizations/123456789012/customConstraints/custom.GKEWizSensorEnforced resource_types:

• container.googleapis.com/Cluster

method_types:

• CREATE
• UPDATE

condition: resource.addonsConfig.wizSensorConfig.enabled == true action_type: ALLOW display_name: 在所有GKE集群上强制启用Wiz Sensor description: 强制要求所有GKE集群启用由企业Secret Manager保险库支持的托管Wiz运行时传感器。

AI安全的智能威胁关联

当托管传感器连接到更广泛的Wiz AI应用防护平台（AI-APP）时，这种集成真正展现出其强大功能。通过将GKE运行时遥测数据输入Wiz安全图谱，您可以解锁超越静态告警的安全工具包：

• 实时风险评估和威胁验证：通过将后台安全扫描与实时活动监控相结合，您可以清晰了解真实风险。传感器会检查是否存在易受攻击的代码实际在内存中运行，从而帮助您专注于活跃的安全威胁，忽略非活跃威胁。

• 实时威胁检测和响应：实时识别恶意软件、未授权访问尝试和软件漏洞等可疑活动。安全团队可以设置规则，自动阻止或隔离威胁，防止其扩散。

• 网络活动和详细安全洞察：跟踪系统活动、网络连接和数据流，以发现隐藏风险和未授权软件使用情况。如果检测到威胁，传感器会自动收集诊断数据，帮助团队快速调查事件。

这些功能共同确保部署在GKE上的关键任务应用和AI代理能够被监控以防止攻击和数据泄露，同时不会影响开发人员的效率。

立即开始使用

GKE的Wiz运行时传感器附加组件为容器安全设定了新标准：在不增加运维复杂性或部署摩擦的情况下，提供深度的内核级eBPF保护。

通过将GKE的托管平台自动化与Wiz的全面安全情报相结合，平台和安全团队可以在云速度下创新，同时保持强大的运行时防御能力。请查阅Wiz Sensor for GKE文档了解更多信息。

Posted in

• Security & Identity
• GKE
• Containers & Kubernetes