Falco Web UI — هشدارهای بدون Kubernetes

Falco

فعال

رویدادها در ۲۴ ساعت: 45

بحرانی

رویدادها در ۲۴ ساعت

هشدارها

اعلان‌ها: 16

قوانین برتر

مجموع: 45

قوانین برتر

Read sensitive file untrusted 5

Write below etc 4

Terminal shell in container 1

Detect outbound connections to common miner pools 0

Run shell untrusted 0

رویدادهای اخیر 45

                            warning
                            2026-10-12T05:08:00 warning A Terminal shell in container (user=root command=sh pid=3220)
                        

                            warning
                            2026-10-12T04:59:30 warning A Terminal shell in container (user=root command=sh pid=2226)
                        

                            notice
                            2026-10-12T04:54:48 notice A Read sensitive file untrusted (user=root command=sh pid=3849)
                        

                            warning
                            2026-10-12T02:49:21 warning A Write below etc (user=root command=sh pid=6829)
                        

                            notice
                            2026-10-12T02:09:44 notice A Terminal shell in container (user=root command=sh pid=9440)
                        

                            warning
                            2026-10-12T01:45:50 warning A Detect outbound connections to common miner pools (user=root command=sh pid=8100)
                        

                            warning
                            2026-10-12T00:35:48 warning A Run shell untrusted (user=root command=sh pid=3920)
                        

                            notice
                            2026-10-12T02:00:45 notice A Terminal shell in container (user=root command=sh pid=4876)
                        

                            notice
                            2026-10-11T23:33:04 notice A Terminal shell in container (user=root command=sh pid=4516)
                        

                            notice
                            2026-10-12T01:53:18 notice A Write below etc (user=root command=sh pid=2344)
                        

                            notice
                            2026-10-12T02:14:40 notice A Read sensitive file untrusted (user=root command=sh pid=6463)
                        

                            warning
                            2026-10-11T22:27:36 warning A Terminal shell in container (user=root command=sh pid=7702)
                        

                            notice
                            2026-10-11T22:01:24 notice A Terminal shell in container (user=root command=sh pid=1258)
                        

                            notice
                            2026-10-12T00:13:59 notice A Write below etc (user=root command=sh pid=4547)
                        

                            notice
                            2026-10-11T21:25:18 notice A Run shell untrusted (user=root command=sh pid=8849)
                        

                            warning
                            2026-10-11T19:27:30 warning A Terminal shell in container (user=root command=sh pid=4474)
                        

                            warning
                            2026-10-11T23:06:08 warning A Detect outbound connections to common miner pools (user=root command=sh pid=7092)
                        

                            warning
                            2026-10-12T01:06:19 warning A Write below etc (user=root command=sh pid=3210)
                        

                            notice
                            2026-10-12T00:02:00 notice A Write below etc (user=root command=sh pid=8245)
                        

تنظیم دقیق: خاموش کردن هشدار نادرست

این پنل پیکربندی Falco را تغییر نمی‌دهد — فقط قطعه‌کد و دستورهایی را نشان می‌دهد که خودتان از طریق SSH روی سرور اجرا می‌کنید.

۱. یک فایل بازنویسی با استثنا بسازید:

# /etc/falco/rules.d/local-tuning.yaml
- rule: <نام دقیق قانون از فهرست بالا>
  condition: and not fd.name = /path/to/exclude
  append: true

۲. بررسی و راه‌اندازی مجدد Falco:

sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

از نام دقیق قانون استفاده کنید. اگر در فهرست به جای نام، متن پیام نمایش داده می‌شود، خروجی JSON را در falco.yaml فعال کنید (json_output: true) تا پنل نام دقیق قوانین را دریافت کند.

اجرای Falco روی یک سرور معمولی، بدون Kubernetes

از Falco معمولاً همچون ابزاری برای Kubernetes سخن می‌رود و تقریباً هر چه دربارهٔ آن نوشته می‌شود خوشه‌ای را فرض می‌گیرد. اما روی یک سرور Linux کاملاً معمولی هم عالی کار می‌کند: فراخوان‌های سیستمی را می‌پاید و هرگاه فرایندی کاری کند که به او مربوط نیست هشدار می‌دهد — گشودن پوسته از کارساز وب، نوشتن در پوشهٔ دودویی‌های سامانه، خواندن پرونده‌های حساس یا گشودن اتصالی خروجی و نامنتظر.

این صفحه هشدارها را با اولویتشان، قاعده‌ای که فعال شده، و فرایند و خط فرمانی که پشت آن است نشان می‌دهد. همین جزئیات پایانی است که Falco را از ابزارهای مبتنی بر گزارش جدا می‌کند: گزارش می‌دهد که فرایند واقعاً چه کرد، نه آنچه سرویسی تصمیم گرفت دربارهٔ آن بنویسد.

مجموعهٔ قواعد پیش‌فرض با نگاه به کانتینرها نوشته شده و روی سروری برهنه پرهیاهو خواهد بود تا زمانی که تنظیم شود. مدیران بسته، کارهای پشتیبان‌گیری و اسکریپت‌های cron مرتب قواعدی را فعال می‌کنند که برای گرفتن نفوذگر ساخته شده‌اند. یکی دو ساعت برای خاموش‌کردن رفتار مشروع در نظر بگیرید پیش از آنکه خروجی به‌کاربردنی شود: جریانی از هشدار که کسی نمی‌خواندش با نبودن هشدار یکی است.

اجرای Falco روی یک سرور معمولی، بدون Kubernetes

حالت دمو