Falco – Runtime Security

Kaufen Self-Hosted Protection
Live
Demo
Falco
Aktiv
Ereignisse in 24 Std.: 62
Kritische
0
Ereignisse in 24 Std.
Warnungen
5
Hinweise: 16
Top-Regeln
5
Gesamt: 62
Top-Regeln
Terminal shell in container 3
Read sensitive file untrusted 3
Write below etc 3
Detect outbound connections to common miner pools 1
Run shell untrusted 0
Letzte Ereignisse 62
notice 2026-10-12T11:14:50 notice A Write below etc (user=root command=sh pid=8499)
warning 2026-10-12T11:03:55 warning A Read sensitive file untrusted (user=root command=sh pid=8063)
notice 2026-10-12T09:38:02 notice A Write below etc (user=root command=sh pid=3966)
warning 2026-10-12T10:56:35 warning A Read sensitive file untrusted (user=root command=sh pid=7032)
notice 2026-10-12T08:40:38 notice A Terminal shell in container (user=root command=sh pid=2471)
notice 2026-10-12T10:36:00 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8143)
notice 2026-10-12T09:57:14 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8965)
warning 2026-10-12T05:25:25 warning A Read sensitive file untrusted (user=root command=sh pid=7117)
notice 2026-10-12T06:55:06 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8619)
notice 2026-10-12T10:29:41 notice A Terminal shell in container (user=root command=sh pid=2231)
notice 2026-10-12T03:11:20 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8140)
warning 2026-10-12T09:13:28 warning A Read sensitive file untrusted (user=root command=sh pid=5914)
warning 2026-10-12T07:11:14 warning A Terminal shell in container (user=root command=sh pid=2314)
notice 2026-10-12T05:51:47 notice A Read sensitive file untrusted (user=root command=sh pid=1779)
notice 2026-10-12T03:16:58 notice A Read sensitive file untrusted (user=root command=sh pid=8983)
Tuning: Fehlalarm stummschalten

Das Dashboard ändert die Falco-Konfiguration nicht – es zeigt nur das Snippet und die Befehle, die Sie per SSH auf dem Server anwenden.

1. Erstellen Sie eine Override-Datei mit der Ausnahme:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <GENAUER REGELNAME aus der Liste oben>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Falco prüfen und neu starten:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Verwenden Sie den exakten Regelnamen. Wird in der Liste der Meldungstext statt des Namens angezeigt, aktivieren Sie die JSON-Ausgabe in falco.yaml (json_output: true), damit das Dashboard die exakten Regelnamen erhält.

Falco auf einem normalen Server betreiben, ohne Kubernetes

Falco wird meist als Kubernetes-Werkzeug besprochen, und fast alles, was darüber geschrieben wird, setzt einen Cluster voraus. Es funktioniert genauso auf einem gewöhnlichen Linux-Server: Es beobachtet Systemaufrufe und schlägt Alarm, wenn ein Prozess etwas tut, das ihn nichts angeht — eine Shell aus dem Webserver heraus starten, in ein Systemverzeichnis schreiben, sensible Dateien lesen, eine unerwartete ausgehende Verbindung öffnen.

Diese Seite zeigt die Alarme mit Priorität, ausgelöster Regel sowie Prozess und Kommandozeile dahinter. Gerade dieses letzte Detail unterscheidet Falco von log-basierten Werkzeugen: Es meldet, was ein Prozess tatsächlich getan hat, nicht das, was ein Dienst darüber zu schreiben beschlossen hat.

Das Standard-Regelwerk ist mit Containern im Blick geschrieben und auf einem blanken Server zunächst laut. Paketmanager, Backup-Jobs und Cron-Skripte lösen regelmäßig Regeln aus, die für Eindringlinge gedacht waren. Planen Sie ein bis zwei Stunden ein, um legitimes Verhalten stummzuschalten, bevor die Ausgabe brauchbar wird — ein Alarmstrom, den niemand liest, ist dasselbe wie gar kein Alarm.