Falco — runtime security — Arcivéo

Falco

Aktiv

Hændelser sidste 24 t: 49

Kritiske

Hændelser sidste 24 t

Advarsler

Notitser: 7

Top-regler

I alt: 49

Top-regler

Terminal shell in container 1

Read sensitive file untrusted 1

Detect outbound connections to common miner pools 1

Write below etc 0

Run shell untrusted 0

Seneste hændelser 49

                            warning
                            2026-08-15T00:34:33 warning A Terminal shell in container (user=root command=sh pid=7104)
                        

                            notice
                            2026-08-15T00:28:27 notice A Read sensitive file untrusted (user=root command=sh pid=9611)
                        

                            notice
                            2026-08-14T23:42:47 notice A Detect outbound connections to common miner pools (user=root command=sh pid=4385)
                        

                            warning
                            2026-08-14T22:59:24 warning A Detect outbound connections to common miner pools (user=root command=sh pid=5233)
                        

                            notice
                            2026-08-14T21:36:01 notice A Run shell untrusted (user=root command=sh pid=4516)
                        

                            notice
                            2026-08-14T22:35:08 notice A Run shell untrusted (user=root command=sh pid=9157)
                        

                            warning
                            2026-08-14T22:13:39 warning A Run shell untrusted (user=root command=sh pid=1470)
                        

                            notice
                            2026-08-14T23:49:17 notice A Run shell untrusted (user=root command=sh pid=3664)
                        

                            notice
                            2026-08-14T22:08:57 notice A Read sensitive file untrusted (user=root command=sh pid=5600)
                        

                            warning
                            2026-08-14T21:10:24 warning A Write below etc (user=root command=sh pid=4579)
                        

                            notice
                            2026-08-14T16:24:23 notice A Read sensitive file untrusted (user=root command=sh pid=7628)
                        

Tuning: dæmp en falsk positiv

Panelet ændrer ikke Falco-konfigurationen — det viser kun et snippet og de kommandoer, du selv anvender på serveren via SSH.

1. Opret en override-fil med undtagelsen:

# /etc/falco/rules.d/local-tuning.yaml
- rule: <NØJAGTIGT REGELNAVN fra listen ovenfor>
  condition: and not fd.name = /path/to/exclude
  append: true

2. Tjek og genstart Falco:

sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Brug det præcise regelnavn. Hvis listen viser beskedteksten i stedet for navnet, så aktivér JSON-output i falco.yaml (json_output: true), så får panelet de præcise regelnavne.

Demotilstand