Falco — runtime security

Osta Self-Hosted Protection
Live
Demo
Falco
Aktiivinen
Tapahtumia 24 h aikana: 62
Kriittisiä
0
Tapahtumia 24 h aikana
Varoituksia
9
Ilmoituksia: 13
Yleisimmät säännöt
5
Yhteensä: 62
Yleisimmät säännöt
Read sensitive file untrusted 5
Write below etc 1
Run shell untrusted 1
Terminal shell in container 0
Detect outbound connections to common miner pools 0
Viimeisimmät tapahtumat 62
warning 2026-10-13T07:53:14 warning A Detect outbound connections to common miner pools (user=root command=sh pid=6508)
warning 2026-10-13T07:14:47 warning A Write below etc (user=root command=sh pid=8240)
notice 2026-10-13T07:33:22 notice A Detect outbound connections to common miner pools (user=root command=sh pid=4146)
warning 2026-10-13T06:29:53 warning A Write below etc (user=root command=sh pid=3638)
notice 2026-10-13T04:50:50 notice A Run shell untrusted (user=root command=sh pid=1729)
notice 2026-10-13T05:59:14 notice A Run shell untrusted (user=root command=sh pid=7315)
notice 2026-10-13T07:05:08 notice A Write below etc (user=root command=sh pid=3154)
notice 2026-10-13T06:05:12 notice A Read sensitive file untrusted (user=root command=sh pid=2541)
notice 2026-10-13T05:38:26 notice A Read sensitive file untrusted (user=root command=sh pid=2299)
warning 2026-10-13T03:13:02 warning A Terminal shell in container (user=root command=sh pid=1405)
notice 2026-10-13T01:07:54 notice A Run shell untrusted (user=root command=sh pid=6385)
warning 2026-10-13T06:14:03 warning A Detect outbound connections to common miner pools (user=root command=sh pid=6435)
warning 2026-10-12T22:28:26 warning A Terminal shell in container (user=root command=sh pid=7767)
notice 2026-10-13T06:40:13 notice A Read sensitive file untrusted (user=root command=sh pid=8563)
warning 2026-10-13T00:45:18 warning A Read sensitive file untrusted (user=root command=sh pid=8247)
notice 2026-10-12T22:51:14 notice A Terminal shell in container (user=root command=sh pid=1281)
warning 2026-10-13T00:02:34 warning A Read sensitive file untrusted (user=root command=sh pid=2460)
warning 2026-10-13T01:00:59 warning A Terminal shell in container (user=root command=sh pid=4822)
notice 2026-10-13T04:02:32 notice A Terminal shell in container (user=root command=sh pid=8703)
Viritys: vaimenna väärä hälytys

Paneeli ei muuta Falcon asetuksia — se vain näyttää katkelman ja komennot, jotka otat käyttöön palvelimella SSH:n kautta.

1. Luo ohitustiedosto poikkeuksella:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <TARKKA SÄÄNNÖN NIMI yllä olevasta luettelosta>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Tarkista ja käynnistä Falco uudelleen:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Käytä säännön tarkkaa nimeä. Jos luettelossa näkyy viestin teksti nimen sijaan, ota käyttöön JSON-tuloste falco.yaml-tiedostossa (json_output: true), jolloin paneeli saa säännöt tarkkoina niminä.

Falcon ajaminen tavallisella palvelimella, ilman Kubernetesia

Falcosta puhutaan yleensä Kubernetes-työkaluna, ja lähes kaikki siitä kirjoitettu olettaa klusterin. Se toimii mainiosti tavallisella Linux-palvelimella, jossa se seuraa järjestelmäkutsuja ja hälyttää kun prosessi tekee jotain mikä ei sille kuulu: käynnistää komentotulkin verkkopalvelimesta, kirjoittaa järjestelmän ohjelmahakemistoon, lukee arkaluonteisia tiedostoja tai avaa odottamattoman lähtevän yhteyden.

Tämä sivu näyttää hälytykset prioriteetteineen, lauenneen säännön sekä sen takana olevan prosessin ja komentorivin. Juuri tuo viimeinen yksityiskohta erottaa Falcon lokipohjaisista työkaluista: se raportoi mitä prosessi todella teki, ei sitä mitä palvelu päätti asiasta kirjoittaa.

Oletussääntöjoukko on kirjoitettu kontit mielessä ja on paljaalla palvelimella meluisa kunnes se on viritetty. Paketinhallinta, varmuuskopiointityöt ja cron-skriptit laukaisevat säännöllisesti sääntöjä jotka oli tarkoitettu tunkeutujien kiinniottoon. Varaa tunti tai kaksi laillisen käytöksen vaimentamiseen ennen kuin tuloste muuttuu käyttökelpoiseksi: hälytysvirta jota kukaan ei lue on sama asia kuin ei hälytyksiä lainkaan.