Falco — runtime security

Acheter Self-Hosted Protection
Live
Demo
Falco
Actif
Événements sur 24 h: 62
Critiques
0
Événements sur 24 h
Avertissements
5
Notifications: 16
Top des règles
5
Total: 62
Top des règles
Terminal shell in container 3
Read sensitive file untrusted 3
Write below etc 3
Detect outbound connections to common miner pools 1
Run shell untrusted 0
Derniers événements 62
notice 2026-10-12T11:14:50 notice A Write below etc (user=root command=sh pid=8499)
warning 2026-10-12T11:03:55 warning A Read sensitive file untrusted (user=root command=sh pid=8063)
notice 2026-10-12T09:38:02 notice A Write below etc (user=root command=sh pid=3966)
warning 2026-10-12T10:56:35 warning A Read sensitive file untrusted (user=root command=sh pid=7032)
notice 2026-10-12T08:40:38 notice A Terminal shell in container (user=root command=sh pid=2471)
notice 2026-10-12T10:36:00 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8143)
notice 2026-10-12T09:57:14 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8965)
warning 2026-10-12T05:25:25 warning A Read sensitive file untrusted (user=root command=sh pid=7117)
notice 2026-10-12T06:55:06 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8619)
notice 2026-10-12T10:29:41 notice A Terminal shell in container (user=root command=sh pid=2231)
notice 2026-10-12T03:11:20 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8140)
warning 2026-10-12T09:13:28 warning A Read sensitive file untrusted (user=root command=sh pid=5914)
warning 2026-10-12T07:11:14 warning A Terminal shell in container (user=root command=sh pid=2314)
notice 2026-10-12T05:51:47 notice A Read sensitive file untrusted (user=root command=sh pid=1779)
notice 2026-10-12T03:16:58 notice A Read sensitive file untrusted (user=root command=sh pid=8983)
Réglage : ignorer un faux positif

Le panneau ne modifie pas la config Falco — il affiche seulement le snippet et les commandes à appliquer sur le serveur en SSH.

1. Créez un fichier de surcharge avec l'exclusion :
# /etc/falco/rules.d/local-tuning.yaml
- rule: <NOM EXACT DE LA RÈGLE dans la liste ci-dessus>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Vérifiez et redémarrez Falco :
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Utilisez le nom exact de la règle. Si la liste affiche le texte du message plutôt que le nom, activez la sortie JSON dans falco.yaml (json_output: true) : le panneau recevra alors les noms exacts des règles.

Faire tourner Falco sur un serveur ordinaire, sans Kubernetes

On présente d’ordinaire Falco comme un outil Kubernetes, et presque tout ce qui s’écrit à son sujet suppose un cluster. Il fonctionne pourtant très bien sur un serveur Linux classique, où il observe les appels système et lève une alerte lorsqu’un processus fait ce qui ne le regarde pas : lancer un shell depuis le serveur web, écrire dans un répertoire de binaires système, lire des fichiers sensibles, ouvrir une connexion sortante inattendue.

Cette page présente les alertes avec leur priorité, la règle déclenchée, ainsi que le processus et la ligne de commande à l’origine. C’est ce dernier détail qui distingue Falco des outils fondés sur les journaux : il rapporte ce qu’un processus a réellement fait, et non ce qu’un service a choisi d’en écrire.

Le jeu de règles par défaut est pensé pour les conteneurs et sera bruyant sur un serveur nu tant qu’il n’est pas ajusté. Gestionnaires de paquets, sauvegardes et scripts cron déclenchent régulièrement des règles destinées à attraper des intrus. Prévoyez une ou deux heures pour faire taire les comportements légitimes avant que la sortie devienne exploitable : un flux d’alertes que personne ne lit équivaut à aucune alerte.