Falco Web UI — Kubernetes बिना रनटाइम अलर्ट

Falco

सक्रिय

24 घं. में इवेंट: 40

गंभीर

24 घं. में इवेंट

चेतावनियाँ

सूचनाएँ: 14

टॉप नियम

कुल: 40

टॉप नियम

Terminal shell in container 2

Read sensitive file untrusted 2

Write below etc 2

Run shell untrusted 2

Detect outbound connections to common miner pools 0

हाल की घटनाएँ 40

                            notice
                            2026-10-12T22:36:12 notice A Read sensitive file untrusted (user=root command=sh pid=6203)
                        

                            notice
                            2026-10-12T21:47:19 notice A Run shell untrusted (user=root command=sh pid=1335)
                        

                            notice
                            2026-10-12T21:40:54 notice A Detect outbound connections to common miner pools (user=root command=sh pid=3795)
                        

                            notice
                            2026-10-12T20:32:54 notice A Run shell untrusted (user=root command=sh pid=9990)
                        

                            notice
                            2026-10-12T20:57:20 notice A Read sensitive file untrusted (user=root command=sh pid=2248)
                        

                            notice
                            2026-10-12T18:46:12 notice A Read sensitive file untrusted (user=root command=sh pid=7339)
                        

                            warning
                            2026-10-12T20:41:54 warning A Read sensitive file untrusted (user=root command=sh pid=5244)
                        

                            notice
                            2026-10-12T18:29:55 notice A Terminal shell in container (user=root command=sh pid=2016)
                        

                            warning
                            2026-10-12T20:35:48 warning A Write below etc (user=root command=sh pid=3684)
                        

                            warning
                            2026-10-12T16:06:30 warning A Read sensitive file untrusted (user=root command=sh pid=8361)
                        

                            warning
                            2026-10-12T19:11:52 warning A Read sensitive file untrusted (user=root command=sh pid=8465)
                        

                            notice
                            2026-10-12T13:48:45 notice A Run shell untrusted (user=root command=sh pid=6129)
                        

                            notice
                            2026-10-12T19:43:00 notice A Terminal shell in container (user=root command=sh pid=4466)
                        

                            notice
                            2026-10-12T15:03:35 notice A Run shell untrusted (user=root command=sh pid=8699)
                        

ट्यूनिंग: फ़ॉल्स पॉज़िटिव को म्यूट करें

पैनल Falco का कॉन्फ़िग नहीं बदलता — यह केवल स्निपेट और कमांड दिखाता है, जिन्हें आप SSH के ज़रिए सर्वर पर लागू करते हैं।

1. अपवाद के साथ ओवरराइड फ़ाइल बनाएँ:

# /etc/falco/rules.d/local-tuning.yaml
- rule: <ऊपर की सूची से नियम का सटीक नाम>
  condition: and not fd.name = /path/to/exclude
  append: true

2. Falco जाँचें और पुनः चालू करें:

sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

नियम का सटीक नाम इस्तेमाल करें। यदि सूची में नाम के बजाय संदेश का टेक्स्ट दिखे — तो falco.yaml में JSON-आउटपुट चालू करें (json_output: true), तब पैनल को नियमों के सटीक नाम मिलेंगे।

Falco को सामान्य सर्वर पर, Kubernetes के बिना चलाना

Falco की चर्चा प्रायः Kubernetes के औज़ार के रूप में होती है, और उस पर लिखा लगभग सब कुछ किसी क्लस्टर को मान लेता है। वह बिलकुल सामान्य Linux सर्वर पर भी बख़ूबी चलता है, जहाँ वह सिस्टम कॉल पर नज़र रखता है और तब अलर्ट उठाता है जब कोई प्रक्रिया वह करे जिससे उसका कोई वास्ता नहीं: वेब सर्वर से शेल चलाना, तंत्र की बाइनरी निर्देशिका में लिखना, संवेदनशील फ़ाइलें पढ़ना, या कोई अप्रत्याशित बाहरी संबंध खोलना।

यह पन्ना अलर्ट उनकी प्राथमिकता के साथ, चले नियम के साथ, और उनके पीछे की प्रक्रिया तथा कमांड लाइन के साथ दिखाता है। यही अंतिम ब्योरा Falco को लॉग पर आधारित औज़ारों से अलग करता है: वह बताता है कि प्रक्रिया ने वास्तव में क्या किया, न कि वह जो किसी सेवा ने उसके बारे में लिखने का निर्णय लिया।

तयशुदा नियम-समुच्चय कंटेनरों को ध्यान में रखकर लिखा गया है और नंगे सर्वर पर तब तक शोर करेगा जब तक उसे साधा न जाए। पैकेज प्रबंधक, बैकअप के काम और cron स्क्रिप्ट नियमित रूप से वे नियम चला देते हैं जो घुसपैठियों को पकड़ने के लिए बने थे। परिणाम काम लायक होने से पहले वैध व्यवहार को चुप कराने के लिए एक-दो घंटे रख लें: ऐसा अलर्ट प्रवाह जिसे कोई न पढ़े, अलर्ट न होने के बराबर है।

Falco को सामान्य सर्वर पर, Kubernetes के बिना चलाना

डेमो मोड