Falco — seguridad en runtime

Comprar Self-Hosted Protection
Live
Demo
Falco
Activo
Eventos en 24 h: 62
Críticos
0
Eventos en 24 h
Advertencias
9
Avisos: 13
Reglas principales
5
Total: 62
Reglas principales
Read sensitive file untrusted 5
Write below etc 1
Run shell untrusted 1
Terminal shell in container 0
Detect outbound connections to common miner pools 0
Eventos recientes 62
warning 2026-10-13T07:53:14 warning A Detect outbound connections to common miner pools (user=root command=sh pid=6508)
warning 2026-10-13T07:14:47 warning A Write below etc (user=root command=sh pid=8240)
notice 2026-10-13T07:33:22 notice A Detect outbound connections to common miner pools (user=root command=sh pid=4146)
warning 2026-10-13T06:29:53 warning A Write below etc (user=root command=sh pid=3638)
notice 2026-10-13T04:50:50 notice A Run shell untrusted (user=root command=sh pid=1729)
notice 2026-10-13T05:59:14 notice A Run shell untrusted (user=root command=sh pid=7315)
notice 2026-10-13T07:05:08 notice A Write below etc (user=root command=sh pid=3154)
notice 2026-10-13T06:05:12 notice A Read sensitive file untrusted (user=root command=sh pid=2541)
notice 2026-10-13T05:38:26 notice A Read sensitive file untrusted (user=root command=sh pid=2299)
warning 2026-10-13T03:13:02 warning A Terminal shell in container (user=root command=sh pid=1405)
notice 2026-10-13T01:07:54 notice A Run shell untrusted (user=root command=sh pid=6385)
warning 2026-10-13T06:14:03 warning A Detect outbound connections to common miner pools (user=root command=sh pid=6435)
warning 2026-10-12T22:28:26 warning A Terminal shell in container (user=root command=sh pid=7767)
notice 2026-10-13T06:40:13 notice A Read sensitive file untrusted (user=root command=sh pid=8563)
warning 2026-10-13T00:45:18 warning A Read sensitive file untrusted (user=root command=sh pid=8247)
notice 2026-10-12T22:51:14 notice A Terminal shell in container (user=root command=sh pid=1281)
warning 2026-10-13T00:02:34 warning A Read sensitive file untrusted (user=root command=sh pid=2460)
warning 2026-10-13T01:00:59 warning A Terminal shell in container (user=root command=sh pid=4822)
notice 2026-10-13T04:02:32 notice A Terminal shell in container (user=root command=sh pid=8703)
Ajuste: silenciar un falso positivo

El panel no modifica la configuración de Falco: solo muestra el fragmento y los comandos que usted aplica en el servidor por SSH.

1. Cree un archivo de anulación con la excepción:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <NOMBRE EXACTO DE LA REGLA de la lista de arriba>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Compruebe y reinicie Falco:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Use el nombre exacto de la regla. Si en la lista aparece el texto del mensaje en lugar del nombre, active la salida JSON en falco.yaml (json_output: true) para que el panel reciba los nombres exactos de las reglas.

Ejecutar Falco en un servidor normal, sin Kubernetes

Falco suele presentarse como una herramienta de Kubernetes, y casi todo lo que se escribe sobre él da por supuesto un clúster. Funciona perfectamente en un servidor Linux corriente, donde vigila las llamadas al sistema y levanta una alerta cuando un proceso hace algo que no le corresponde: abrir una shell desde el servidor web, escribir en un directorio de binarios del sistema, leer archivos sensibles o abrir una conexión saliente inesperada.

Esta página muestra las alertas con su prioridad, la regla que se disparó y el proceso y la línea de comandos que hay detrás. Ese último detalle es lo que diferencia a Falco de las herramientas basadas en registros: informa de lo que un proceso hizo realmente, no de lo que un servicio decidió escribir al respecto.

El conjunto de reglas por defecto está escrito pensando en contenedores y será ruidoso en un servidor desnudo hasta que se ajuste. Gestores de paquetes, tareas de copia de seguridad y scripts de cron disparan con regularidad reglas pensadas para cazar intrusos. Reserve una o dos horas para silenciar comportamientos legítimos antes de que la salida sea accionable: un flujo de alertas que nadie lee equivale a no tener alertas.