Falco – runtime security

Vásárlás Self-Hosted Protection
Live
Demo
Falco
Aktív
Események 24 ó alatt: 32
Kritikus
0
Események 24 ó alatt
Figyelmeztetés
5
Értesítés: 9
Top szabályok
5
Összesen: 32
Top szabályok
Read sensitive file untrusted 6
Terminal shell in container 3
Write below etc 1
Detect outbound connections to common miner pools 1
Run shell untrusted 1
Legutóbbi események 32
notice 2026-10-12T09:11:24 notice A Read sensitive file untrusted (user=root command=sh pid=9903)
warning 2026-10-12T08:52:39 warning A Run shell untrusted (user=root command=sh pid=7770)
warning 2026-10-12T07:58:04 warning A Read sensitive file untrusted (user=root command=sh pid=8967)
warning 2026-10-12T08:03:45 warning A Write below etc (user=root command=sh pid=5306)
notice 2026-10-12T08:04:56 notice A Read sensitive file untrusted (user=root command=sh pid=8493)
warning 2026-10-12T07:38:49 warning A Terminal shell in container (user=root command=sh pid=4967)
notice 2026-10-12T07:32:54 notice A Read sensitive file untrusted (user=root command=sh pid=2354)
notice 2026-10-12T03:56:45 notice A Run shell untrusted (user=root command=sh pid=2333)
notice 2026-10-12T08:26:28 notice A Write below etc (user=root command=sh pid=9317)
warning 2026-10-12T07:22:48 warning A Run shell untrusted (user=root command=sh pid=6583)
notice 2026-10-12T04:47:54 notice A Read sensitive file untrusted (user=root command=sh pid=9022)
notice 2026-10-12T02:38:53 notice A Write below etc (user=root command=sh pid=8670)
notice 2026-10-12T05:48:48 notice A Write below etc (user=root command=sh pid=5526)
notice 2026-10-12T01:52:00 notice A Terminal shell in container (user=root command=sh pid=9589)
Finomhangolás: téves riasztás elnémítása

A panel nem módosítja a Falco konfigurációját – csak megjeleníti a kódrészletet és a parancsokat, amelyeket SSH-n keresztül alkalmaz a szerveren.

1. Hozzon létre egy felülbíráló fájlt a kivétellel:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <PONTOS SZABÁLYNÉV a fenti listából>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Ellenőrizze és indítsa újra a Falco-t:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Használja a szabály pontos nevét. Ha a listában az üzenet szövege látszik a név helyett, kapcsolja be a JSON-kimenetet a falco.yaml fájlban (json_output: true), így a panel megkapja a pontos szabályneveket.

Falco futtatása egyszerű szerveren, Kubernetes nélkül

A Falcóról rendszerint Kubernetes-eszközként esik szó, és szinte minden, amit írnak róla, klasztert feltételez. Kiválóan működik egy hétköznapi Linux-szerveren is, ahol rendszerhívásokat figyel, és riaszt, ha egy folyamat olyat tesz, amihez semmi köze: shellt indít a webszerverből, ír egy rendszerbinárisokat tartalmazó könyvtárba, érzékeny fájlokat olvas, vagy váratlan kimenő kapcsolatot nyit.

Ez az oldal a riasztásokat prioritással, az aktiválódott szabállyal, valamint a mögöttük álló folyamattal és parancssorral mutatja. Éppen ez az utolsó részlet különbözteti meg a Falcót a naplóalapú eszközöktől: azt jelenti, amit a folyamat valóban tett, nem azt, amit egy szolgáltatás írni akart róla.

Az alapértelmezett szabálykészletet konténerekre gondolva írták, és egy csupasz szerveren zajos lesz, amíg be nem hangolja. A csomagkezelők, a mentési feladatok és a cron-szkriptek rendszeresen aktiválnak betolakodók elkapására szánt szabályokat. Számolj egy-két órával a jogos viselkedés elnémítására, mielőtt a kimenet használhatóvá válna: a riasztásfolyam, amelyet senki nem olvas, ugyanaz, mintha nem lenne riasztás.