Runtime Radar é uma solução de software open source para monitorar eventos de segurança em tempo de execução (runtime) e responder a incidentes em ambientes conteinerizados.
Ela foi criada para preencher a lacuna entre a verificação de imagens na fase de CI/CD e o comportamento real dos contêineres durante a execução — afinal, algumas ameaças surgem justamente nesse momento: processos de mineração, elevação de privilégios, tráfego de rede inesperado e outros.
O projeto é licenciado sob a licença Apache 2.0.
Por que usar o Runtime Radar
Principais vantagens
- Monitoramento de eventos durante a execução dos contêineres: proteção não apenas na fase de build/deploy, mas também em produção.
- Gerenciamento centralizado de ambientes multicluster: possibilidade de conectar vários clusters em uma única interface de administração.
- Integração com sistemas de segurança e monitoramento existentes: suporte a syslog, SMTP e webhook.
- Capacidade de criar suas próprias regras de detecção (assinaturas) em Go por meio do SDK.
- Baseado em tecnologias modernas: eBPF + Tetragon (sensor) para rastrear eventos do kernel e dos contêineres.
Quando é especialmente útil
- Se você já possui uma infraestrutura de contêineres (como Kubernetes) e deseja aprimorar a segurança dos contêineres em execução.
- Se sua infraestrutura é distribuída entre vários clusters e você precisa de um ponto único de controle.
- Se o código aberto, a flexibilidade e a integração com SOC/logs são importantes para você.
- Se há restrições orçamentárias ou se você busca uma alternativa a soluções comerciais caras.
Arquitetura (visão geral)
Os principais componentes do Runtime Radar:
- Runtime Monitor: sensor configurável para coletar eventos de contêineres e do kernel (baseado em Tetragon/eBPF).
- Event Processor: mecanismo de análise de anomalias (em alguns casos usa módulo WebAssembly).
- Cluster Manager: módulo que gerencia a conexão de clusters à interface unificada.
- Notifier: envia eventos para SOC/sistemas de log via syslog/webhook/SMTP.
- UI (interface web): visualização de eventos, tratamento de incidentes, filtragem e investigação.
Visualmente: sensores nos clusters → eventos → processamento → notificações/interface.
Pré-requisitos
Antes da instalação, verifique se seu ambiente atende aos seguintes requisitos:
- Plataforma de contêiner (como Kubernetes) com privilégios administrativos no cluster.
- Os nós onde o Runtime Radar será implantado devem suportar eBPF (kernel Linux compatível).
- Acesso ao Helm chart ou às imagens Docker do projeto (no repositório GitHub).
- (Recomendado) Sistema de logging/monitoramento (como ELK/Elastic, OpenSearch, Loki) para integração.
- Em ambientes multicluster — rede e acesso entre clusters e o console de administração devidamente configurados.
- Compreensão básica de segurança em tempo de execução (processos, permissões, conexões de rede) será um diferencial.
Passos de instalação
- Clonar o repositório
git clone https://github.com/Runtime-Radar/runtime-radar.git cd runtime-radar
- Preparar o Helm chartNa pasta install/helm está o Helm chart para instalação.
Se necessário, edite o arquivo values.yaml (endereços de integração, namespace, permissões, etc.).
Exemplo:helm install runtime-radar ./install/helm -n radar --create-namespace
--set notifier.syslog.enabled=true
--set notifier.webhook.url=https://…
--set clusterManager.enabled=true - Implantar o sensor nos nósO sensor deve ser instalado em cada nó de onde se deseja coletar eventos. Certifique-se de que ele está capturando eventos do kernel/contêiner (como criação de processos, alterações de permissão, conexões de rede).
- Configurar regras (Policy / Rules)Na interface web ou via SDK, você pode ativar políticas prontas ou escrever suas próprias assinaturas em Go.
- Integrar com sistemas de notificação/logConfigure o envio de alertas via syslog, SMTP ou webhook. Escolha templates de mensagens (baseados em Go templates).
- Verificar funcionamento
- Abra a interface web;
- Verifique se os sensores estão conectados e recebendo eventos;
- Realize um teste (ex.: execute um contêiner com comportamento inesperado) e confirme que o evento é detectado e notificado;
- Use os filtros e ferramentas de investigação: visualização de processos, relações pai/filho, tipo de evento, etc.
- Instalação multicluster (opcional)Conecte clusters adicionais via Cluster Manager, conforme a documentação. Isso permite gerenciar todo o ambiente a partir de uma única interface.
Configuração e operação
Políticas e regras
- Use políticas prontas para um início rápido.
- Configure filtros: elimine eventos “barulhentos” e foque em incidentes críticos.
- Crie regras próprias via SDK: defina o que é comportamento anômalo em seu ambiente.
Interface de investigação
- Na interface são exibidos eventos com ícones, tipos e relações de processo.
- Permite filtrar por cluster, nó, pod ou tipo de sinal.
- Nos incidentes, é possível navegar entre o evento e seu contexto (processo pai, filhos), compreendendo a cadeia de ações.
Integração com SOC/logs
- Envie logs para ELK/Opensearch/Loki ou outros sistemas.
- Use webhook/SMTP para alertas críticos.
- Nos templates (Go-template), inclua campos como timestamp, cluster, pod, processo, regra e severidade.
Monitoramento de desempenho
- Garanta que os sensores coletem eventos sem gerar carga excessiva.
- Verifique periodicamente se há ausência de eventos (“silêncio”), o que pode indicar falhas no sensor ou filtros muito restritivos.
- Atualize regras conforme mudanças na infraestrutura: novos serviços, contêineres, padrões de comportamento.
Limitações e pontos de atenção
- Como qualquer sistema de runtime, consome recursos: sensores podem usar CPU/memória — teste a carga antes do ambiente de produção.
- A interpretação de “anomalias” requer contexto: o que é normal em um ambiente pode ser suspeito em outro; adapte as regras ao seu cenário.
- Infraestruturas muito distribuídas podem exigir configurações extras de rede/segurança para conectar à console centralizada.
- Código aberto — excelente, mas requer equipe disposta a participar da comunidade ou adaptar o projeto às suas necessidades.
- Projeto relativamente novo (lançamento em outubro de 2025) — o ecossistema ainda pode ser menos maduro que o de soluções comerciais.
Conclusão
A segurança de contêineres não é apenas um conjunto de ferramentas, mas uma mentalidade. O Runtime Radar ajuda a enfrentar o estágio de runtime — onde mora a incerteza real: novos processos, conexões inesperadas, erros de configuração.
Não trate o monitoramento como algo burocrático. Escute sua infraestrutura como um organismo — ela também tem “sintomas” que precisam ser percebidos a tempo.
Configure alertas que avisem sobre problemas reais sem gerar ruído.
E, acima de tudo, faça da segurança parte do ciclo diário de desenvolvimento, não apenas uma reação a incidentes.
O Runtime Radar pode ser seu “estetoscópio” de contêineres: silencioso, discreto, mas salvando tempo e nervos quando algo dá errado.
FAQ - Perguntas frequentes
- 1. É possível usar o Runtime Radar sem Kubernetes?
Sim. Embora a integração principal seja com Kubernetes, você pode instalar o sensor em hosts comuns (Docker, Podman). O requisito essencial é o suporte a eBPF no kernel. - 2. O Runtime Radar entra em conflito com outros sistemas de monitoramento (como Falco ou Prometheus)?
Não. Ele opera em paralelo usando hooks eBPF. Porém, se houver muitos instrumentos eBPF ativos, monitore o uso de recursos do kernel. - 3. Com que frequência devo atualizar as regras de segurança?
Recomenda-se revisar as regras ao menos a cada trimestre ou sempre que houver mudanças significativas na infraestrutura (novos microsserviços, atualizações do Kubernetes, políticas de acesso). - 4. E se o sistema gerar muitos falsos positivos?
Use filtros e níveis de prioridade nas configurações. Desative sinais irrelevantes para focar nos críticos. O Runtime Radar permite criar regras personalizadas adequadas ao seu cluster. - 5. O Runtime Radar é adequado para produção?
Sim. Apesar de jovem, o projeto é estável e em rápido desenvolvimento. Teste em um ambiente de staging para avaliar a carga dos sensores antes de colocar em produção.