Falco — ランタイムセキュリティ

購入 Self-Hosted Protection
Live
Demo
Falco
稼働中
24時間のイベント数: 62
重大
0
24時間のイベント数
警告
5
通知: 16
上位ルール
5
合計: 62
上位ルール
Terminal shell in container 3
Read sensitive file untrusted 3
Write below etc 3
Detect outbound connections to common miner pools 1
Run shell untrusted 0
最近のイベント 62
notice 2026-10-12T11:14:50 notice A Write below etc (user=root command=sh pid=8499)
warning 2026-10-12T11:03:55 warning A Read sensitive file untrusted (user=root command=sh pid=8063)
notice 2026-10-12T09:38:02 notice A Write below etc (user=root command=sh pid=3966)
warning 2026-10-12T10:56:35 warning A Read sensitive file untrusted (user=root command=sh pid=7032)
notice 2026-10-12T08:40:38 notice A Terminal shell in container (user=root command=sh pid=2471)
notice 2026-10-12T10:36:00 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8143)
notice 2026-10-12T09:57:14 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8965)
warning 2026-10-12T05:25:25 warning A Read sensitive file untrusted (user=root command=sh pid=7117)
notice 2026-10-12T06:55:06 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8619)
notice 2026-10-12T10:29:41 notice A Terminal shell in container (user=root command=sh pid=2231)
notice 2026-10-12T03:11:20 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8140)
warning 2026-10-12T09:13:28 warning A Read sensitive file untrusted (user=root command=sh pid=5914)
warning 2026-10-12T07:11:14 warning A Terminal shell in container (user=root command=sh pid=2314)
notice 2026-10-12T05:51:47 notice A Read sensitive file untrusted (user=root command=sh pid=1779)
notice 2026-10-12T03:16:58 notice A Read sensitive file untrusted (user=root command=sh pid=8983)
チューニング：誤検知を抑制

パネルは Falco の設定を変更しません。スニペットと、SSH でサーバーに適用するコマンドを表示するだけです。

1. 除外設定を含む上書きファイルを作成：
# /etc/falco/rules.d/local-tuning.yaml
- rule: <上記リストの正確なルール名>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Falco を確認して再起動：
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

正確なルール名を使用してください。一覧にメッセージ本文が表示され名前が出ない場合は、falco.yaml で JSON 出力を有効化（json_output: true）すると、パネルが正確なルール名を取得できます。

Kubernetes を使わず、ふつうのサーバーで Falco を動かす

Falco はたいてい Kubernetes の道具として語られ、それについて書かれるもののほとんどはクラスタの存在を前提にしています。まったくふつうの Linux サーバーでも見事に働きます。そこでシステムコールを見張り、あるプロセスが自分に関わりのないことをしたときに警告を上げます。ウェブサーバーからシェルを立ち上げる、システムの実行ファイル置き場に書き込む、機微なファイルを読む、思いがけない外向きの接続を開く、といったことです。

このページはアラートを優先度とともに、発火した規則、そして背後のプロセスとコマンドラインを添えて示します。ログに依る道具と Falco を分けるのは、まさにこの最後の細部です。あるサービスがその件について何を書き残すことにしたかではなく、プロセスが実際に何をしたかを報せてくれるのです。

既定の規則一式はコンテナを念頭に書かれており、素のサーバーでは調整するまで騒がしいままです。パッケージ管理、バックアップの仕事、cron のスクリプトは、侵入者を捕まえるために設けられた規則を日常的に発火させます。出力が使い物になるまでに、正当なふるまいを黙らせるための一、二時間を見込んでおいてください。誰も読まないアラートの流れは、アラートがないのと同じことです。