Falco — seguridad en runtime — Arcivéo

Falco

Activo

Eventos en 24 h: 77

Críticos

Eventos en 24 h

Advertencias

Avisos: 16

Reglas principales

Total: 77

Reglas principales

Read sensitive file untrusted 4

Terminal shell in container 2

Write below etc 2

Run shell untrusted 2

Detect outbound connections to common miner pools 1

Eventos recientes 77

                            notice
                            2026-08-13T23:34:34 notice A Terminal shell in container (user=root command=sh pid=7946)
                        

                            notice
                            2026-08-13T23:09:21 notice A Read sensitive file untrusted (user=root command=sh pid=9683)
                        

                            notice
                            2026-08-13T22:45:46 notice A Read sensitive file untrusted (user=root command=sh pid=5400)
                        

                            warning
                            2026-08-13T22:31:07 warning A Terminal shell in container (user=root command=sh pid=4849)
                        

                            notice
                            2026-08-13T22:55:26 notice A Detect outbound connections to common miner pools (user=root command=sh pid=2751)
                        

                            warning
                            2026-08-13T19:25:24 warning A Write below etc (user=root command=sh pid=1259)
                        

                            notice
                            2026-08-13T21:26:52 notice A Run shell untrusted (user=root command=sh pid=8049)
                        

                            notice
                            2026-08-13T19:13:49 notice A Detect outbound connections to common miner pools (user=root command=sh pid=7277)
                        

                            warning
                            2026-08-13T18:39:30 warning A Run shell untrusted (user=root command=sh pid=5088)
                        

                            notice
                            2026-08-13T18:15:04 notice A Run shell untrusted (user=root command=sh pid=4606)
                        

                            warning
                            2026-08-13T16:47:54 warning A Read sensitive file untrusted (user=root command=sh pid=4409)
                        

                            warning
                            2026-08-13T17:20:01 warning A Run shell untrusted (user=root command=sh pid=8485)
                        

                            warning
                            2026-08-13T13:46:10 warning A Read sensitive file untrusted (user=root command=sh pid=5748)
                        

                            warning
                            2026-08-13T16:32:30 warning A Run shell untrusted (user=root command=sh pid=8422)
                        

                            notice
                            2026-08-13T13:44:14 notice A Detect outbound connections to common miner pools (user=root command=sh pid=5665)
                        

                            notice
                            2026-08-13T14:30:34 notice A Detect outbound connections to common miner pools (user=root command=sh pid=4190)
                        

                            notice
                            2026-08-13T19:04:42 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8516)
                        

Ajuste: silenciar un falso positivo

El panel no modifica la configuración de Falco: solo muestra el fragmento y los comandos que usted aplica en el servidor por SSH.

1. Cree un archivo de anulación con la excepción:

# /etc/falco/rules.d/local-tuning.yaml
- rule: <NOMBRE EXACTO DE LA REGLA de la lista de arriba>
  condition: and not fd.name = /path/to/exclude
  append: true

2. Compruebe y reinicie Falco:

sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Use el nombre exacto de la regla. Si en la lista aparece el texto del mensaje en lugar del nombre, active la salida JSON en falco.yaml (json_output: true) para que el panel reciba los nombres exactos de las reglas.

Modo demo