Falco — runtime security

Køb Self-Hosted Protection
Live
Demo
Falco
Aktiv
Hændelser sidste 24 t: 39
Kritiske
0
Hændelser sidste 24 t
Advarsler
3
Notitser: 16
Top-regler
5
I alt: 39
Top-regler
Write below etc 3
Terminal shell in container 2
Read sensitive file untrusted 2
Detect outbound connections to common miner pools 1
Run shell untrusted 1
Seneste hændelser 39
notice 2026-10-13T03:03:49 notice A Detect outbound connections to common miner pools (user=root command=sh pid=1939)
notice 2026-10-13T02:15:17 notice A Detect outbound connections to common miner pools (user=root command=sh pid=3559)
notice 2026-10-13T02:09:41 notice A Write below etc (user=root command=sh pid=7824)
notice 2026-10-13T00:43:55 notice A Terminal shell in container (user=root command=sh pid=4846)
warning 2026-10-13T02:41:13 warning A Read sensitive file untrusted (user=root command=sh pid=6949)
notice 2026-10-13T02:13:24 notice A Write below etc (user=root command=sh pid=9806)
warning 2026-10-12T22:13:37 warning A Write below etc (user=root command=sh pid=1181)
notice 2026-10-13T00:18:37 notice A Run shell untrusted (user=root command=sh pid=6931)
warning 2026-10-13T01:41:57 warning A Terminal shell in container (user=root command=sh pid=7758)
notice 2026-10-12T22:01:52 notice A Write below etc (user=root command=sh pid=1887)
notice 2026-10-13T02:09:09 notice A Read sensitive file untrusted (user=root command=sh pid=2256)
notice 2026-10-13T00:45:35 notice A Read sensitive file untrusted (user=root command=sh pid=4588)
notice 2026-10-12T23:50:25 notice A Run shell untrusted (user=root command=sh pid=1989)
Tuning: dæmp en falsk positiv

Panelet ændrer ikke Falco-konfigurationen — det viser kun et snippet og de kommandoer, du selv anvender på serveren via SSH.

1. Opret en override-fil med undtagelsen:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <NØJAGTIGT REGELNAVN fra listen ovenfor>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Tjek og genstart Falco:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Brug det præcise regelnavn. Hvis listen viser beskedteksten i stedet for navnet, så aktivér JSON-output i falco.yaml (json_output: true), så får panelet de præcise regelnavne.

At køre Falco på en almindelig server, uden Kubernetes

Falco omtales som regel som et Kubernetes-værktøj, og næsten alt, hvad der skrives om det, forudsætter en klynge. Det virker fremragende på en helt almindelig Linux-server, hvor det følger systemkald og alarmerer, når en proces gør noget, den ikke har med at gøre: starter en shell fra webserveren, skriver i en mappe med systembinærfiler, læser følsomme filer eller åbner en uventet udgående forbindelse.

Denne side viser alarmerne med prioritet, den regel der udløstes, samt processen og kommandolinjen bag. Netop den sidste detalje adskiller Falco fra logbaserede værktøjer: det melder, hvad en proces faktisk gjorde, ikke hvad en tjeneste valgte at skrive om sagen.

Standardregelsættet er skrevet med containere for øje og vil være støjende på en nøgen server, indtil det er trimmet. Pakkehåndtering, backupjob og cron-scripts udløser jævnligt regler, der var tænkt til at fange indtrængere. Regn med en time eller to til at dæmpe legitim adfærd, før udskriften bliver brugbar: en alarmstrøm, ingen læser, er det samme som ingen alarmer.