Falco Web UI — התרעות ללא Kubernetes

Falco

פעיל

אירועים ב-24 ש׳: 45

קריטיים

אירועים ב-24 ש׳

אזהרות

הודעות: 16

הכללים המובילים

סך הכול: 45

הכללים המובילים

Read sensitive file untrusted 5

Write below etc 4

Terminal shell in container 1

Detect outbound connections to common miner pools 0

Run shell untrusted 0

אירועים אחרונים 45

                            warning
                            2026-10-12T05:08:00 warning A Terminal shell in container (user=root command=sh pid=3220)
                        

                            warning
                            2026-10-12T04:59:30 warning A Terminal shell in container (user=root command=sh pid=2226)
                        

                            notice
                            2026-10-12T04:54:48 notice A Read sensitive file untrusted (user=root command=sh pid=3849)
                        

                            warning
                            2026-10-12T02:49:21 warning A Write below etc (user=root command=sh pid=6829)
                        

                            notice
                            2026-10-12T02:09:44 notice A Terminal shell in container (user=root command=sh pid=9440)
                        

                            warning
                            2026-10-12T01:45:50 warning A Detect outbound connections to common miner pools (user=root command=sh pid=8100)
                        

                            warning
                            2026-10-12T00:35:48 warning A Run shell untrusted (user=root command=sh pid=3920)
                        

                            notice
                            2026-10-12T02:00:45 notice A Terminal shell in container (user=root command=sh pid=4876)
                        

                            notice
                            2026-10-11T23:33:04 notice A Terminal shell in container (user=root command=sh pid=4516)
                        

                            notice
                            2026-10-12T01:53:18 notice A Write below etc (user=root command=sh pid=2344)
                        

                            notice
                            2026-10-12T02:14:40 notice A Read sensitive file untrusted (user=root command=sh pid=6463)
                        

                            warning
                            2026-10-11T22:27:36 warning A Terminal shell in container (user=root command=sh pid=7702)
                        

                            notice
                            2026-10-11T22:01:24 notice A Terminal shell in container (user=root command=sh pid=1258)
                        

                            notice
                            2026-10-12T00:13:59 notice A Write below etc (user=root command=sh pid=4547)
                        

                            notice
                            2026-10-11T21:25:18 notice A Run shell untrusted (user=root command=sh pid=8849)
                        

                            warning
                            2026-10-11T19:27:30 warning A Terminal shell in container (user=root command=sh pid=4474)
                        

                            warning
                            2026-10-11T23:06:08 warning A Detect outbound connections to common miner pools (user=root command=sh pid=7092)
                        

                            warning
                            2026-10-12T01:06:19 warning A Write below etc (user=root command=sh pid=3210)
                        

                            notice
                            2026-10-12T00:02:00 notice A Write below etc (user=root command=sh pid=8245)
                        

כוונון: השתקת התראת שווא

הפאנל אינו משנה את תצורת Falco — הוא רק מציג את הקטע ואת הפקודות שתחילו בשרת דרך SSH.

1. צרו קובץ עקיפה עם החרגה:

# /etc/falco/rules.d/local-tuning.yaml
- rule: <שם הכלל המדויק מהרשימה שלמעלה>
  condition: and not fd.name = /path/to/exclude
  append: true

2. בדקו והפעילו מחדש את Falco:

sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

השתמש בשם המדויק של הכלל. אם ברשימה מוצג טקסט ההודעה במקום השם — הפעל פלט JSON ב־falco.yaml (json_output: true), ואז הפאנל יקבל את שמות הכללים המדויקים.

להריץ את Falco על שרת רגיל, בלי Kubernetes

על Falco מדברים בדרך כלל ככלי ל-Kubernetes, וכמעט כל מה שנכתב עליו מניח אשכול. הוא עובד מצוין גם על שרת Linux רגיל לגמרי, שם הוא עוקב אחרי קריאות מערכת ומרים התרעה כשתהליך עושה משהו שאינו מעניינו: מפעיל מעטפת משרת הווב, כותב לספריית קובצי בינרי של המערכת, קורא קבצים רגישים או פותח חיבור יוצא בלתי צפוי.

הדף מציג את ההתרעות עם העדיפות שלהן, את הכלל שנורה, ואת התהליך ושורת הפקודה שמאחוריהם. דווקא הפרט האחרון הזה מבדיל את Falco מכלים המבוססים על יומנים: הוא מדווח מה תהליך באמת עשה, ולא מה שירות בחר לכתוב על כך.

מערך הכללים שבברירת המחדל נכתב מתוך מחשבה על מכולות ויהיה רועש על שרת חשוף עד שיכווננו אותו. מנהלי חבילות, משימות גיבוי וסקריפטים של cron מפעילים באופן קבוע כללים שנועדו לתפוס פורצים. קחו בחשבון שעה או שעתיים להשתקת התנהגות לגיטימית לפני שהפלט יהפוך לשמיש: זרם התרעות שאיש אינו קורא שקול לאי-קיומן של התרעות.

להריץ את Falco על שרת רגיל, בלי Kubernetes

מצב הדגמה