Falco — runtime security

Kopen Self-Hosted Protection
Live
Demo
Falco
Actief
Gebeurtenissen in 24 u: 26
Kritiek
0
Gebeurtenissen in 24 u
Waarschuwingen
6
Meldingen: 8
Topregels
5
Totaal: 26
Topregels
Write below etc 4
Run shell untrusted 2
Terminal shell in container 1
Read sensitive file untrusted 1
Detect outbound connections to common miner pools 1
Recente gebeurtenissen 26
warning 2026-10-12T04:01:44 warning A Read sensitive file untrusted (user=root command=sh pid=9012)
notice 2026-10-12T03:12:53 notice A Run shell untrusted (user=root command=sh pid=5064)
notice 2026-10-12T02:41:26 notice A Terminal shell in container (user=root command=sh pid=2472)
warning 2026-10-12T01:48:23 warning A Run shell untrusted (user=root command=sh pid=9503)
warning 2026-10-12T03:33:24 warning A Run shell untrusted (user=root command=sh pid=8044)
notice 2026-10-12T01:04:09 notice A Run shell untrusted (user=root command=sh pid=1818)
notice 2026-10-11T23:40:50 notice A Terminal shell in container (user=root command=sh pid=1769)
notice 2026-10-12T03:09:28 notice A Write below etc (user=root command=sh pid=2009)
warning 2026-10-12T01:47:12 warning A Run shell untrusted (user=root command=sh pid=7118)
warning 2026-10-11T22:44:56 warning A Write below etc (user=root command=sh pid=8487)
notice 2026-10-12T02:07:04 notice A Detect outbound connections to common miner pools (user=root command=sh pid=6426)
notice 2026-10-11T23:07:07 notice A Write below etc (user=root command=sh pid=1345)
notice 2026-10-11T23:00:20 notice A Write below etc (user=root command=sh pid=5946)
warning 2026-10-11T19:18:03 warning A Write below etc (user=root command=sh pid=9864)
Tuning: vals-positief onderdrukken

Het paneel wijzigt de Falco-configuratie niet — het toont alleen het fragment en de commando's die u op de server via SSH toepast.

1. Maak een overschrijfbestand met een uitzondering:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <EXACTE REGELNAAM uit de lijst hierboven>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Controleer Falco en start het opnieuw:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Gebruik de exacte regelnaam. Als de lijst de berichttekst toont in plaats van de naam, schakel dan JSON-uitvoer in falco.yaml in (json_output: true); dan krijgt het dashboard de exacte regelnamen.

Falco draaien op een gewone server, zonder Kubernetes

Falco wordt doorgaans besproken als Kubernetes-gereedschap, en vrijwel alles wat erover geschreven wordt veronderstelt een cluster. Het werkt uitstekend op een gewone Linux-server, waar het systeemaanroepen volgt en een melding geeft zodra een proces iets doet wat het niet aangaat: een shell starten vanuit de webserver, schrijven in een map met systeembinaries, gevoelige bestanden lezen, een onverwachte uitgaande verbinding openen.

Deze pagina toont de meldingen met hun prioriteit, de regel die afging, en het proces en de opdrachtregel erachter. Juist dat laatste detail onderscheidt Falco van logboekgereedschap: het meldt wat een proces werkelijk deed, niet wat een dienst daarover besloot te schrijven.

De standaardregelset is geschreven met containers in gedachten en zal op een kale server luidruchtig zijn tot hij is afgesteld. Pakketbeheerders, back-uptaken en cron-scripts laten geregeld regels afgaan die voor indringers bedoeld waren. Reken op een uur of twee om legitiem gedrag stil te zetten voordat de uitvoer bruikbaar wordt: een stroom meldingen die niemand leest staat gelijk aan geen meldingen.