Falco — runtime security

Kup Self-Hosted Protection
Live
Demo
Falco
Aktywna
Zdarzeń w 24 h: 41
Krytycznych
0
Zdarzeń w 24 h
Ostrzeżeń
5
Powiadomień: 6
Najczęstsze reguły
5
Razem: 41
Najczęstsze reguły
Terminal shell in container 3
Read sensitive file untrusted 3
Write below etc 1
Run shell untrusted 1
Detect outbound connections to common miner pools 0
Ostatnie zdarzenia 41
notice 2026-10-13T11:04:09 notice A Detect outbound connections to common miner pools (user=root command=sh pid=1869)
notice 2026-10-13T10:35:59 notice A Write below etc (user=root command=sh pid=3021)
notice 2026-10-13T10:44:23 notice A Run shell untrusted (user=root command=sh pid=5185)
warning 2026-10-13T09:22:27 warning A Detect outbound connections to common miner pools (user=root command=sh pid=8339)
notice 2026-10-13T09:09:25 notice A Terminal shell in container (user=root command=sh pid=7625)
notice 2026-10-13T07:00:54 notice A Read sensitive file untrusted (user=root command=sh pid=3963)
warning 2026-10-13T06:24:15 warning A Run shell untrusted (user=root command=sh pid=6986)
warning 2026-10-13T09:19:02 warning A Detect outbound connections to common miner pools (user=root command=sh pid=5699)
notice 2026-10-13T09:39:37 notice A Read sensitive file untrusted (user=root command=sh pid=6420)
warning 2026-10-13T08:45:33 warning A Detect outbound connections to common miner pools (user=root command=sh pid=8220)
warning 2026-10-13T03:20:29 warning A Run shell untrusted (user=root command=sh pid=1594)
Strojenie: wycisz fałszywy alarm

Panel nie zmienia konfiguracji Falco — pokazuje tylko fragment i polecenia, które stosuje Pan/Pani na serwerze przez SSH.

1. Utwórz plik nadpisujący z wyjątkiem:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <DOKŁADNA NAZWA REGUŁY z listy powyżej>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Sprawdź i uruchom ponownie Falco:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Proszę użyć dokładnej nazwy reguły. Jeśli na liście widnieje treść komunikatu, a nie nazwa — proszę włączyć wyjście JSON w falco.yaml (json_output: true), wtedy panel otrzyma dokładne nazwy reguł.

Falco na zwykłym serwerze, bez Kubernetes

O Falco mówi się zwykle jak o narzędziu dla Kubernetes i niemal wszystko, co się o nim pisze, zakłada klaster. Działa doskonale na zwyczajnym serwerze z Linuksem, gdzie obserwuje wywołania systemowe i podnosi alarm, gdy proces robi coś, co do niego nie należy: uruchamia powłokę z serwera WWW, zapisuje w katalogu binariów systemowych, czyta wrażliwe pliki albo otwiera nieoczekiwane połączenie wychodzące.

Ta strona pokazuje alerty z priorytetem, wyzwoloną regułą oraz procesem i wierszem poleceń, który za nimi stoi. To właśnie ten ostatni szczegół odróżnia Falco od narzędzi opartych na dziennikach: raportuje, co proces naprawdę zrobił, a nie to, co usługa postanowiła o tym napisać.

Domyślny zestaw reguł napisano z myślą o kontenerach i na gołym serwerze będzie hałaśliwy, dopóki się go nie dostroi. Menedżery pakietów, zadania kopii zapasowych i skrypty crona regularnie wyzwalają reguły pomyślane do łapania intruzów. Przewidź godzinę lub dwie na wyciszanie zachowań legalnych, zanim wynik stanie się użyteczny: strumień alertów, którego nikt nie czyta, to to samo, co brak alertów.