Elasticsearch节点中pending_segments_runc文件是否为合法生成？

• Elasticsearch 7.17版本中，/usr/share/elasticsearch/data/nodes/0/_state/路径用于存储节点核心元数据、分片状态等关键信息，其下合法文件命名遵循严格规则：

  • 与分片分段相关的文件通常以pending_segments开头，但仅会附加分片ID等ES内部标识后缀，绝不会包含runc这类容器运行时二进制的名称；
  • 该目录下所有合法文件均由ES集群自身的状态管理逻辑生成，不存在任何与容器runtime组件关联的命名规则。

• 结合部署场景补充验证：

  • 同版本、同部署方式（ECK operator）的其他ES集群均无此类文件，说明这不是版本或部署方式导致的正常差异；
  • ECK部署的官方ES镜像经过严格标准化，不会生成任何关联runc的异常文件。

• 关于安全扫描告警的合理性：

  • runc是容器运行时的核心二进制组件，这个文件名直接关联runc，大概率是恶意操作留下的痕迹——可能是攻击者篡改runc后遗留的文件，或是尝试容器逃逸过程中生成的临时文件，该告警真阳性概率极高，建议立即对该Pod进行深入排查（比如检查runc二进制完整性、Pod内异常进程、集群权限配置等）。

内容的提问来源于stack exchange，提问作者Zhaohui Yang