Falco – runtime security

Vásárlás Self-Hosted Protection
Live
Demo
Falco
Aktív
Események 24 ó alatt: 34
Kritikus
0
Események 24 ó alatt
Figyelmeztetés
6
Értesítés: 13
Top szabályok
5
Összesen: 34
Top szabályok
Terminal shell in container 2
Read sensitive file untrusted 1
Run shell untrusted 1
Write below etc 0
Detect outbound connections to common miner pools 0
Legutóbbi események 34
notice 2026-10-12T11:19:52 notice A Run shell untrusted (user=root command=sh pid=2884)
notice 2026-10-12T10:36:42 notice A Detect outbound connections to common miner pools (user=root command=sh pid=4012)
notice 2026-10-12T10:13:38 notice A Read sensitive file untrusted (user=root command=sh pid=5892)
notice 2026-10-12T09:13:01 notice A Run shell untrusted (user=root command=sh pid=7204)
notice 2026-10-12T08:50:24 notice A Write below etc (user=root command=sh pid=8586)
warning 2026-10-12T09:53:17 warning A Terminal shell in container (user=root command=sh pid=2202)
notice 2026-10-12T08:30:10 notice A Detect outbound connections to common miner pools (user=root command=sh pid=9732)
warning 2026-10-12T06:43:36 warning A Write below etc (user=root command=sh pid=1539)
warning 2026-10-12T06:47:28 warning A Run shell untrusted (user=root command=sh pid=6970)
notice 2026-10-12T09:37:34 notice A Detect outbound connections to common miner pools (user=root command=sh pid=5849)
warning 2026-10-12T03:02:52 warning A Detect outbound connections to common miner pools (user=root command=sh pid=2581)
warning 2026-10-12T02:13:10 warning A Detect outbound connections to common miner pools (user=root command=sh pid=6143)
notice 2026-10-12T05:15:04 notice A Terminal shell in container (user=root command=sh pid=4713)
notice 2026-10-12T04:04:48 notice A Detect outbound connections to common miner pools (user=root command=sh pid=3613)
warning 2026-10-12T06:42:40 warning A Terminal shell in container (user=root command=sh pid=6038)
notice 2026-10-12T08:25:07 notice A Terminal shell in container (user=root command=sh pid=6451)
Finomhangolás: téves riasztás elnémítása

A panel nem módosítja a Falco konfigurációját – csak megjeleníti a kódrészletet és a parancsokat, amelyeket SSH-n keresztül alkalmaz a szerveren.

1. Hozzon létre egy felülbíráló fájlt a kivétellel:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <PONTOS SZABÁLYNÉV a fenti listából>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Ellenőrizze és indítsa újra a Falco-t:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Használja a szabály pontos nevét. Ha a listában az üzenet szövege látszik a név helyett, kapcsolja be a JSON-kimenetet a falco.yaml fájlban (json_output: true), így a panel megkapja a pontos szabályneveket.

Falco futtatása egyszerű szerveren, Kubernetes nélkül

A Falcóról rendszerint Kubernetes-eszközként esik szó, és szinte minden, amit írnak róla, klasztert feltételez. Kiválóan működik egy hétköznapi Linux-szerveren is, ahol rendszerhívásokat figyel, és riaszt, ha egy folyamat olyat tesz, amihez semmi köze: shellt indít a webszerverből, ír egy rendszerbinárisokat tartalmazó könyvtárba, érzékeny fájlokat olvas, vagy váratlan kimenő kapcsolatot nyit.

Ez az oldal a riasztásokat prioritással, az aktiválódott szabállyal, valamint a mögöttük álló folyamattal és parancssorral mutatja. Éppen ez az utolsó részlet különbözteti meg a Falcót a naplóalapú eszközöktől: azt jelenti, amit a folyamat valóban tett, nem azt, amit egy szolgáltatás írni akart róla.

Az alapértelmezett szabálykészletet konténerekre gondolva írták, és egy csupasz szerveren zajos lesz, amíg be nem hangolja. A csomagkezelők, a mentési feladatok és a cron-szkriptek rendszeresen aktiválnak betolakodók elkapására szánt szabályokat. Számolj egy-két órával a jogos viselkedés elnémítására, mielőtt a kimenet használhatóvá válna: a riasztásfolyam, amelyet senki nem olvas, ugyanaz, mintha nem lenne riasztás.