Docker原生不支持细粒度事件审计，但可通过docker events监听状态变更、ENTRYPOINT/trap嵌入审计逻辑、HEALTHCHECK联动事件、runc/systemd/eBPF实现运行时深度审计。

在 Docker 容器生命周期中，原生并不提供细粒度的“事件审计”机制（如容器启动前、网络就绪后、健康检查失败时等自动触发钩子），但可通过组合 Docker 内置事件流、容器生命周期命令（ENTRYPOINT/CMD）、健康检查（HEALTHCHECK）、外部监控工具及运行时钩子（如 dockerd 的 --exec-opt native.cgroupdriver=systemd 配合 systemd 服务单元）实现近似审计能力。

1. 利用 docker events 捕获核心状态变更

Docker daemon 提供实时事件流，覆盖容器创建、启动、停止、销毁、OOM、健康状态变化等关键节点：

• 典型事件类型： create、start、die（正常退出）、destroy、oom、health_status: healthy/unhealthy、restart
• 审计建议：
  • 运行 docker events --filter 'event=start' --filter 'event=die' --format '{{json .}}' 实时监听，并通过 jq 或日志系统（如 Fluentd / Filebeat）结构化入库
  • 添加时间戳和主机标识：--format 'time={{.Time}} host={{.Actor.Attributes.host}} container={{.Actor.ID}} event={{.Status}}'
  • 注意：该事件流不包含容器内部执行细节（如进程 PID、环境变量、挂载路径），仅反映 daemon 层面的状态跃迁

2. 在容器启动/退出阶段嵌入审计逻辑

通过自定义 ENTRYPOINT 或封装启动脚本，在容器生命周期关键点主动记录上下文：

• 启动时审计：在 entrypoint 脚本开头写入日志，例如：
  echo "$(date -u +%FT%TZ) [START] $HOSTNAME $(hostname -i) $@ >> /var/log/container-audit.log
• 退出前审计：使用 trap 捕获信号，确保清理前记录退出原因：
  trap 'echo "$(date -u +%FT%TZ) [STOP] exit=$? signal=$SIG" >> /var/log/container-audit.log' EXIT
• 限制：无法捕获被 docker kill -9 强制终止的容器的 EXIT 事件（无机会执行 trap）

3. 健康检查与状态跃迁联动审计

HEALTHCHECK 指令本身不触发事件，但其状态变化会广播为 health_status: 类型事件。可结合二者构建闭环审计：

• 在 Dockerfile 中定义：
  HEALTHCHECK --interval=30s --timeout=3s --start-period=5s --retries=3 CMD curl -f http://localhost:8080/health || exit 1
• 监听 docker events --filter 'event=health_status'，当收到 unhealthy 事件时，立即调用 docker inspect 获取容器详细状态、网络配置、最近日志，存档分析
• 注意：健康检查失败不会自动停止容器，需额外策略（如上层编排器或自定义 watch 脚本）响应

4. 运行时深度审计：集成 runc / systemd / eBPF

若需审计容器内进程行为（如 exec 调用、文件打开、网络连接），需脱离 Docker API，深入运行时层：

• runc hooks：在 config.json 中配置 prestart / poststop 钩子，执行审计脚本（适用于手动管理容器）
• systemd 集成：将容器作为 systemd 服务运行（docker run --init + systemd-run），利用 journalctl -u my-container.service 关联容器生命周期与系统日志
• eBPF 工具：使用 pixie、inspektor-gadget 或自定义 bpftrace 脚本，实时跟踪容器 PID namespace 内的系统调用，实现进程级行为审计