Falco Web UI — تنبيهات بلا Kubernetes

Falco

نشط

الأحداث خلال 24 س: 34

حرجة

الأحداث خلال 24 س

تحذيرات

إشعارات: 13

أهم القواعد

الإجمالي: 34

أهم القواعد

Terminal shell in container 2

Read sensitive file untrusted 1

Run shell untrusted 1

Write below etc 0

Detect outbound connections to common miner pools 0

أحدث الأحداث 34

                            notice
                            2026-10-12T11:19:52 notice A Run shell untrusted (user=root command=sh pid=2884)
                        

                            notice
                            2026-10-12T10:36:42 notice A Detect outbound connections to common miner pools (user=root command=sh pid=4012)
                        

                            notice
                            2026-10-12T10:13:38 notice A Read sensitive file untrusted (user=root command=sh pid=5892)
                        

                            notice
                            2026-10-12T09:13:01 notice A Run shell untrusted (user=root command=sh pid=7204)
                        

                            notice
                            2026-10-12T08:50:24 notice A Write below etc (user=root command=sh pid=8586)
                        

                            warning
                            2026-10-12T09:53:17 warning A Terminal shell in container (user=root command=sh pid=2202)
                        

                            notice
                            2026-10-12T08:30:10 notice A Detect outbound connections to common miner pools (user=root command=sh pid=9732)
                        

                            warning
                            2026-10-12T06:43:36 warning A Write below etc (user=root command=sh pid=1539)
                        

                            warning
                            2026-10-12T06:47:28 warning A Run shell untrusted (user=root command=sh pid=6970)
                        

                            notice
                            2026-10-12T09:37:34 notice A Detect outbound connections to common miner pools (user=root command=sh pid=5849)
                        

                            warning
                            2026-10-12T03:02:52 warning A Detect outbound connections to common miner pools (user=root command=sh pid=2581)
                        

                            warning
                            2026-10-12T02:13:10 warning A Detect outbound connections to common miner pools (user=root command=sh pid=6143)
                        

                            notice
                            2026-10-12T05:15:04 notice A Terminal shell in container (user=root command=sh pid=4713)
                        

                            notice
                            2026-10-12T04:04:48 notice A Detect outbound connections to common miner pools (user=root command=sh pid=3613)
                        

                            warning
                            2026-10-12T06:42:40 warning A Terminal shell in container (user=root command=sh pid=6038)
                        

                            notice
                            2026-10-12T08:25:07 notice A Terminal shell in container (user=root command=sh pid=6451)
                        

الضبط: كتم إنذار كاذب

لا تُغيّر اللوحة إعدادات Falco — بل تعرض فقط المقتطف والأوامر التي تُطبّقها على السيرفر عبر SSH.

1. أنشئ ملف تجاوز يتضمّن الاستثناء:

# /etc/falco/rules.d/local-tuning.yaml
- rule: <اسم القاعدة الدقيق من القائمة أعلاه>
  condition: and not fd.name = /path/to/exclude
  append: true

2. تحقّق وأعد تشغيل Falco:

sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

استخدم اسم القاعدة الدقيق. إذا كان النص المعروض في القائمة هو نص الرسالة بدلاً من الاسم، فعّل إخراج JSON في falco.yaml (json_output: true)، عندها ستحصل اللوحة على أسماء القواعد الدقيقة.

تشغيل Falco على خادم عادي، بلا Kubernetes

يُتحدَّث عن Falco عادةً بوصفه أداة لـ Kubernetes، وكل ما يُكتب عنه تقريباً يفترض وجود عنقود. وهو يعمل ممتازاً على خادم Linux عادي تماماً، حيث يراقب نداءات النظام ويرفع تنبيهاً حين تفعل عملية ما لا شأن لها به: تشغيل صدفة من خادم الويب، أو الكتابة في دليل ثنائيات النظام، أو قراءة ملفات حساسة، أو فتح اتصال صادر غير متوقع.

تعرض هذه الصفحة التنبيهات مع أولويتها والقاعدة التي انطلقت والعملية وسطر الأوامر خلفها. هذه التفصيلة الأخيرة بالذات هي ما يميّز Falco عن الأدوات القائمة على السجلات: يبلّغ عمّا فعلته العملية حقاً، لا عمّا اختارت خدمة أن تكتبه عن ذلك.

مجموعة القواعد الافتراضية كُتبت والحاويات في الحسبان، وستكون صاخبة على خادم مجرّد إلى أن تُضبط. مديرو الحزم ومهام النسخ الاحتياطي وسكربتات cron تُطلق بانتظام قواعد وُضعت لاصطياد المتسللين. احسب ساعة أو ساعتين لإسكات السلوك المشروع قبل أن تصير المخرجات صالحة للعمل: تدفق تنبيهات لا يقرؤه أحد يساوي غياب التنبيهات تماماً.

تشغيل Falco على خادم عادي، بلا Kubernetes

وضع العرض التجريبي