Falco — runtime security

Αγορά Self-Hosted Protection
Live
Demo
Falco
Ενεργό
Συμβάντα σε 24 ώρες: 41
Κρίσιμα
0
Συμβάντα σε 24 ώρες
Προειδοποιήσεις
5
Ειδοποιήσεις: 6
Κορυφαίοι κανόνες
5
Σύνολο: 41
Κορυφαίοι κανόνες
Terminal shell in container 3
Read sensitive file untrusted 3
Write below etc 1
Run shell untrusted 1
Detect outbound connections to common miner pools 0
Πρόσφατα συμβάντα 41
notice 2026-10-13T11:04:09 notice A Detect outbound connections to common miner pools (user=root command=sh pid=1869)
notice 2026-10-13T10:35:59 notice A Write below etc (user=root command=sh pid=3021)
notice 2026-10-13T10:44:23 notice A Run shell untrusted (user=root command=sh pid=5185)
warning 2026-10-13T09:22:27 warning A Detect outbound connections to common miner pools (user=root command=sh pid=8339)
notice 2026-10-13T09:09:25 notice A Terminal shell in container (user=root command=sh pid=7625)
notice 2026-10-13T07:00:54 notice A Read sensitive file untrusted (user=root command=sh pid=3963)
warning 2026-10-13T06:24:15 warning A Run shell untrusted (user=root command=sh pid=6986)
warning 2026-10-13T09:19:02 warning A Detect outbound connections to common miner pools (user=root command=sh pid=5699)
notice 2026-10-13T09:39:37 notice A Read sensitive file untrusted (user=root command=sh pid=6420)
warning 2026-10-13T08:45:33 warning A Detect outbound connections to common miner pools (user=root command=sh pid=8220)
warning 2026-10-13T03:20:29 warning A Run shell untrusted (user=root command=sh pid=1594)
Ρύθμιση: αποσιώπηση ψευδούς συναγερμού

Το μόνιτορ δεν αλλάζει τη διαμόρφωση του Falco — δείχνει μόνο το απόσπασμα και τις εντολές που εφαρμόζετε στον διακομιστή μέσω SSH.

1. Δημιουργήστε αρχείο παράκαμψης με την εξαίρεση:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <ΑΚΡΙΒΕΣ ΟΝΟΜΑ ΚΑΝΟΝΑ από τη λίστα παραπάνω>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Ελέγξτε και επανεκκινήστε το Falco:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Χρησιμοποιήστε το ακριβές όνομα του κανόνα. Αν στη λίστα εμφανίζεται το κείμενο του μηνύματος αντί για το όνομα, ενεργοποιήστε την έξοδο JSON στο falco.yaml (json_output: true), ώστε το μόνιτορ να λαμβάνει τα ακριβή ονόματα των κανόνων.

Να τρέχει το Falco σε απλό διακομιστή, χωρίς Kubernetes

Για το Falco γίνεται συνήθως λόγος ως εργαλείο για Kubernetes, και σχεδόν όλα όσα γράφονται γι αυτό προϋποθέτουν συστάδα. Δουλεύει άριστα και σε έναν κοινό διακομιστή Linux, όπου παρακολουθεί τις κλήσεις συστήματος και σηκώνει ειδοποίηση όταν μια διεργασία κάνει κάτι που δεν την αφορά: ανοίγει κέλυφος από τον διακομιστή web, γράφει σε κατάλογο με εκτελέσιμα συστήματος, διαβάζει ευαίσθητα αρχεία ή ανοίγει απροσδόκητη εξερχόμενη σύνδεση.

Η σελίδα δείχνει τις ειδοποιήσεις με την προτεραιότητά τους, τον κανόνα που ενεργοποιήθηκε, καθώς και τη διεργασία και τη γραμμή εντολών πίσω τους. Ακριβώς αυτή η τελευταία λεπτομέρεια ξεχωρίζει το Falco από τα εργαλεία που στηρίζονται σε αρχεία καταγραφής: αναφέρει τι έκανε πραγματικά μια διεργασία, όχι τι επέλεξε να γράψει γι αυτό μια υπηρεσία.

Το προεπιλεγμένο σύνολο κανόνων γράφτηκε με τα containers κατά νου και θα είναι θορυβώδες σε γυμνό διακομιστή ώσπου να ρυθμιστεί. Οι διαχειριστές πακέτων, οι εργασίες αντιγράφων ασφαλείας και τα σενάρια cron ενεργοποιούν τακτικά κανόνες φτιαγμένους για να πιάνουν εισβολείς. Υπολογίστε μία ή δύο ώρες για να σιγήσετε τη νόμιμη συμπεριφορά προτού το αποτέλεσμα γίνει αξιοποιήσιμο: μια ροή ειδοποιήσεων που δεν διαβάζει κανείς είναι το ίδιο με καθόλου ειδοποιήσεις.