Falco — 런타임 보안

구매 Self-Hosted Protection
Live
Demo
Falco
활성
24시간 이벤트: 41
심각
0
24시간 이벤트
경고
5
알림: 6
상위 규칙
5
합계: 41
상위 규칙
Terminal shell in container 3
Read sensitive file untrusted 3
Write below etc 1
Run shell untrusted 1
Detect outbound connections to common miner pools 0
최근 이벤트 41
notice 2026-10-13T11:04:09 notice A Detect outbound connections to common miner pools (user=root command=sh pid=1869)
notice 2026-10-13T10:35:59 notice A Write below etc (user=root command=sh pid=3021)
notice 2026-10-13T10:44:23 notice A Run shell untrusted (user=root command=sh pid=5185)
warning 2026-10-13T09:22:27 warning A Detect outbound connections to common miner pools (user=root command=sh pid=8339)
notice 2026-10-13T09:09:25 notice A Terminal shell in container (user=root command=sh pid=7625)
notice 2026-10-13T07:00:54 notice A Read sensitive file untrusted (user=root command=sh pid=3963)
warning 2026-10-13T06:24:15 warning A Run shell untrusted (user=root command=sh pid=6986)
warning 2026-10-13T09:19:02 warning A Detect outbound connections to common miner pools (user=root command=sh pid=5699)
notice 2026-10-13T09:39:37 notice A Read sensitive file untrusted (user=root command=sh pid=6420)
warning 2026-10-13T08:45:33 warning A Detect outbound connections to common miner pools (user=root command=sh pid=8220)
warning 2026-10-13T03:20:29 warning A Run shell untrusted (user=root command=sh pid=1594)
튜닝: 오탐 억제

이 패널은 Falco 설정을 변경하지 않습니다. SSH로 서버에 적용할 스니펫과 명령만 보여줍니다.

1. 예외를 포함한 재정의 파일을 생성하세요:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <위 목록의 정확한 규칙 이름>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Falco를 확인하고 재시작하세요:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

정확한 규칙 이름을 사용하세요. 목록에 이름 대신 메시지 텍스트가 표시되면 falco.yaml에서 JSON 출력을 켜세요(json_output: true). 그러면 패널이 정확한 규칙 이름을 받습니다.

Kubernetes 없이 평범한 서버에서 Falco 돌리기

Falco는 대개 Kubernetes의 도구로 이야기되고, 그에 관해 쓰인 것 거의 전부가 클러스터를 전제합니다. 아주 평범한 Linux 서버에서도 훌륭히 돌아갑니다. 거기서 시스템 호출을 지켜보다가 어떤 프로세스가 저와 상관없는 일을 하면 경보를 올립니다. 웹 서버에서 셸을 띄우거나, 시스템 실행 파일 디렉터리에 쓰거나, 민감한 파일을 읽거나, 뜻밖의 바깥 연결을 여는 일 말입니다.

이 페이지는 경보를 우선순위와 함께, 발동한 규칙과 그 뒤의 프로세스 및 명령줄을 곁들여 보여 줍니다. 로그에 기대는 도구들과 Falco를 가르는 것이 바로 이 마지막 세부입니다. 어떤 서비스가 그 일에 관해 무엇을 적기로 했는지가 아니라, 프로세스가 실제로 무엇을 했는지를 알려 주니까요.

기본 규칙 묶음은 컨테이너를 염두에 두고 쓰였기에, 다듬기 전까지 맨 서버에서는 시끄럽습니다. 꾸러미 관리자, 백업 작업, cron 스크립트가 침입자를 잡으려고 마련된 규칙을 곧잘 발동시킵니다. 출력이 쓸 만해지기까지 정당한 행동을 잠재우는 데 한두 시간을 잡아 두십시오. 아무도 읽지 않는 경보의 흐름은 경보가 없는 것과 같습니다.