Falco — runtime security

Cumpără Self-Hosted Protection
Live
Demo
Falco
Activ
Evenimente în 24 h: 54
Critice
0
Evenimente în 24 h
Avertizări
5
Notificări: 17
Top reguli
5
Total: 54
Top reguli
Write below etc 4
Terminal shell in container 2
Read sensitive file untrusted 1
Run shell untrusted 1
Detect outbound connections to common miner pools 0
Evenimente recente 54
notice 2026-10-12T23:56:53 notice A Terminal shell in container (user=root command=sh pid=3404)
notice 2026-10-12T23:31:12 notice A Detect outbound connections to common miner pools (user=root command=sh pid=9257)
warning 2026-10-12T23:11:53 warning A Run shell untrusted (user=root command=sh pid=3247)
notice 2026-10-12T21:45:20 notice A Detect outbound connections to common miner pools (user=root command=sh pid=4254)
notice 2026-10-12T20:50:29 notice A Read sensitive file untrusted (user=root command=sh pid=5212)
notice 2026-10-12T21:43:23 notice A Write below etc (user=root command=sh pid=7465)
notice 2026-10-12T19:23:17 notice A Write below etc (user=root command=sh pid=3235)
notice 2026-10-12T22:59:43 notice A Write below etc (user=root command=sh pid=3715)
warning 2026-10-12T21:25:09 warning A Detect outbound connections to common miner pools (user=root command=sh pid=7349)
notice 2026-10-12T18:10:41 notice A Read sensitive file untrusted (user=root command=sh pid=2171)
notice 2026-10-12T21:05:53 notice A Detect outbound connections to common miner pools (user=root command=sh pid=6669)
warning 2026-10-12T21:10:47 warning A Write below etc (user=root command=sh pid=1815)
warning 2026-10-12T22:51:17 warning A Detect outbound connections to common miner pools (user=root command=sh pid=2431)
warning 2026-10-12T18:28:12 warning A Write below etc (user=root command=sh pid=1944)
notice 2026-10-12T16:09:17 notice A Read sensitive file untrusted (user=root command=sh pid=7035)
Reglare: reduce la tăcere o alertă falsă

Panoul nu modifică configurația Falco — doar afișează fragmentul și comenzile pe care le aplicați pe server prin SSH.

1. Creați un fișier de suprascriere cu excepția:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <NUMELE EXACT AL REGULII din lista de mai sus>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Verificați și reporniți Falco:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Folosiți numele exact al regulii. Dacă în listă este afișat textul mesajului, nu numele — activați ieșirea JSON în falco.yaml (json_output: true), astfel panoul va primi numele exacte ale regulilor.

Falco pe un server obișnuit, fără Kubernetes

Despre Falco se vorbește de obicei ca despre un instrument pentru Kubernetes, iar aproape tot ce se scrie despre el presupune un cluster. Funcționează perfect și pe un server Linux obișnuit, unde urmărește apelurile de sistem și ridică o alertă când un proces face ceva ce nu îl privește: pornește un shell din serverul web, scrie într-un director cu binare de sistem, citește fișiere sensibile sau deschide o conexiune de ieșire neașteptată.

Pagina arată alertele cu prioritatea lor, regula declanșată, precum și procesul și linia de comandă din spate. Tocmai acest ultim detaliu deosebește Falco de instrumentele bazate pe jurnale: raportează ce a făcut efectiv un proces, nu ce a ales un serviciu să scrie despre asta.

Setul de reguli implicit este scris cu containerele în minte și va fi zgomotos pe un server gol până când îl reglați. Managerii de pachete, sarcinile de backup și scripturile cron declanșează în mod regulat reguli menite să prindă intruși. Pune la socoteală o oră sau două pentru a reduce la tăcere comportamentele legitime înainte ca rezultatul să devină util: un flux de alerte pe care nu îl citește nimeni este totuna cu lipsa alertelor.