Falco — runtime security

Koupit Self-Hosted Protection
Live
Demo
Falco
Aktivní
Události za 24 h: 40
Kritických
0
Události za 24 h
Varování
4
Oznámení: 14
Top pravidel
5
Celkem: 40
Top pravidel
Terminal shell in container 2
Read sensitive file untrusted 2
Write below etc 2
Run shell untrusted 2
Detect outbound connections to common miner pools 0
Poslední události 40
notice 2026-10-12T22:36:12 notice A Read sensitive file untrusted (user=root command=sh pid=6203)
notice 2026-10-12T21:47:19 notice A Run shell untrusted (user=root command=sh pid=1335)
notice 2026-10-12T21:40:54 notice A Detect outbound connections to common miner pools (user=root command=sh pid=3795)
notice 2026-10-12T20:32:54 notice A Run shell untrusted (user=root command=sh pid=9990)
notice 2026-10-12T20:57:20 notice A Read sensitive file untrusted (user=root command=sh pid=2248)
notice 2026-10-12T18:46:12 notice A Read sensitive file untrusted (user=root command=sh pid=7339)
warning 2026-10-12T20:41:54 warning A Read sensitive file untrusted (user=root command=sh pid=5244)
notice 2026-10-12T18:29:55 notice A Terminal shell in container (user=root command=sh pid=2016)
warning 2026-10-12T20:35:48 warning A Write below etc (user=root command=sh pid=3684)
warning 2026-10-12T16:06:30 warning A Read sensitive file untrusted (user=root command=sh pid=8361)
warning 2026-10-12T19:11:52 warning A Read sensitive file untrusted (user=root command=sh pid=8465)
notice 2026-10-12T13:48:45 notice A Run shell untrusted (user=root command=sh pid=6129)
notice 2026-10-12T19:43:00 notice A Terminal shell in container (user=root command=sh pid=4466)
notice 2026-10-12T15:03:35 notice A Run shell untrusted (user=root command=sh pid=8699)
Ladění: umlčet falešný poplach

Panel nemění konfiguraci Falco — pouze zobrazuje úryvek a příkazy, které aplikujete na serveru přes SSH.

1. Vytvořte soubor s přepsáním obsahující výjimku:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <PŘESNÝ NÁZEV PRAVIDLA ze seznamu výše>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Ověřte a restartujte Falco:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Použijte přesný název pravidla. Pokud se v seznamu zobrazuje text zprávy místo názvu, zapněte výstup JSON v falco.yaml (json_output: true), pak panel získá přesné názvy pravidel.

Provozovat Falco na běžném serveru, bez Kubernetes

O Falcu se obvykle mluví jako o nástroji pro Kubernetes a téměř vše, co se o něm píše, předpokládá cluster. Funguje výborně i na zcela běžném linuxovém serveru, kde sleduje systémová volání a vyvolá výstrahu, když proces udělá něco, co mu nepřísluší: spustí shell z webového serveru, zapíše do adresáře se systémovými binárkami, přečte citlivé soubory nebo otevře nečekané odchozí spojení.

Tato stránka ukazuje výstrahy s prioritou, spuštěné pravidlo a proces s příkazovou řádkou, které za nimi stojí. Právě tento poslední detail odlišuje Falco od nástrojů založených na logu: hlásí, co proces skutečně udělal, ne to, co si o tom služba usmyslela napsat.

Výchozí sada pravidel je psaná s ohledem na kontejnery a na holém serveru bude hlučná, dokud ji neusadíte. Správci balíčků, zálohovací úlohy a cronové skripty pravidelně spouštějí pravidla určená k lapání vetřelců. Počítejte s hodinou dvěma na umlčení legitimního chování, než se výstup stane použitelným: proud výstrah, který nikdo nečte, je totéž jako žádné výstrahy.