sysdig

系统调用级抓取与离线分析工具，支持容器与 Kubernetes 元数据

补充说明

sysdig 从内核采集系统调用、tracepoint 和部分调度事件，支持实时过滤、写入 .scap 抓包文件后离线分析，内置 csysdig 交互界面和 Lua chisel 脚本。与 strace 相比，它更适合全系统、带容器元数据的短期抓取；与 tcpdump 相比，它覆盖系统调用而不是网络包。

• 采集方式：传统内核模块 sysdig-probe，或 eBPF 探针；模块需要与当前内核匹配。
• 内核/权限：需要 root 或 CAP_SYS_ADMIN 等能力；容器内通常无法加载模块，应在宿主机运行。
• 容器元数据：可显示 container.name、container.id、k8s.pod.name 等字段，但依赖运行时 socket 与 Kubernetes API 访问权限。
• 开销：全量抓取所有系统调用开销很大；生产上先用过滤器或短时抓取，再离线分析。

常用示例

# 实时查看打开文件的进程、路径和返回值
sudo sysdig -p '%evt.time %proc.name %fd.name %evt.res' 'evt.type=openat and evt.dir=<'

# 抓取事件到文件，之后离线分析（Ctrl-C 结束）
sudo sysdig -w /tmp/capture.scap

# 从抓包文件统计读写最多的文件
sysdig -r /tmp/capture.scap -c topfiles_bytes

# 只看某个容器的 openat/write 事件
sudo sysdig -p '%container.name %proc.name %evt.type %fd.name' \
  'container.name=web and evt.type in (openat,write)'

# 按进程统计网络流量
sudo sysdig -c topprocs_net

# 列出可用 chisel 与字段
sysdig -l
sysdig -L | grep -i container

离线分析不需要 root 加载驱动；sysdig -r file.scap 只读取抓包文件，适合在分析机上复现。

易错点与排错

• 内核模块未编译或与当前内核不匹配会加载失败；升级内核后要重新编译（dkms）或改用 eBPF 探针，两种采集方式可用字段也可能有差异。
• Secure Boot 会拒绝未签名模块；需要签名，或使用支持 eBPF 的采集模式。
• 容器里通常没有权限加载模块、也没有匹配的内核头文件；应在宿主机或特权 DaemonSet 中采集。
• 不过滤方向时会同时看到进入和退出事件，看起来像重复行；排错常用 evt.dir=< 只看退出事件。
• %fd.name 对非文件 fd 可能显示 <NA>；先用 evt.type 限定文件类事件，避免格式字段误导。
• 高频抓取会丢事件并拖慢系统；优先 -w 落盘、加过滤条件，或限制抓取时长和事件数。
• chisel 名称必须与 sysdig -l 中列出的完全一致，不同版本附带脚本不同；-c 写错会直接报错。
• 容器名/Pod 名依赖运行时元数据；containerd、CRI-O、非默认 socket 路径或缺少 API 权限时字段可能为空。

读完自测

1. sysdig 与 strace 的适用场景有什么差异？
2. 为什么 sysdig 在容器里经常起不来？
3. 过滤器里的 evt.dir=< 有什么作用？

相关条目

• strace
• bpftrace
• tcpdump
• lsof
• nsenter