Falco — runtime security

Kúpiť Self-Hosted Protection
Live
Demo
Falco
Aktívna
Udalosti za 24 h: 82
Kritických
0
Udalosti za 24 h
Varovaní
6
Oznámení: 19
Najčastejšie pravidlá
5
Spolu: 82
Najčastejšie pravidlá
Write below etc 4
Read sensitive file untrusted 3
Run shell untrusted 2
Terminal shell in container 1
Detect outbound connections to common miner pools 1
Posledné udalosti 82
warning 2026-10-12T09:01:12 warning A Write below etc (user=root command=sh pid=4542)
notice 2026-10-12T08:26:01 notice A Read sensitive file untrusted (user=root command=sh pid=1132)
notice 2026-10-12T08:16:04 notice A Terminal shell in container (user=root command=sh pid=2234)
warning 2026-10-12T06:32:15 warning A Write below etc (user=root command=sh pid=8638)
warning 2026-10-12T07:59:52 warning A Read sensitive file untrusted (user=root command=sh pid=6427)
warning 2026-10-12T05:41:02 warning A Detect outbound connections to common miner pools (user=root command=sh pid=4977)
notice 2026-10-12T06:06:00 notice A Read sensitive file untrusted (user=root command=sh pid=7970)
notice 2026-10-12T07:20:59 notice A Detect outbound connections to common miner pools (user=root command=sh pid=4780)
notice 2026-10-12T08:19:44 notice A Run shell untrusted (user=root command=sh pid=6703)
warning 2026-10-12T05:32:06 warning A Read sensitive file untrusted (user=root command=sh pid=8385)
warning 2026-10-12T02:17:02 warning A Detect outbound connections to common miner pools (user=root command=sh pid=4154)
notice 2026-10-12T07:46:35 notice A Run shell untrusted (user=root command=sh pid=9543)
notice 2026-10-12T06:21:12 notice A Detect outbound connections to common miner pools (user=root command=sh pid=1941)
notice 2026-10-12T04:32:19 notice A Write below etc (user=root command=sh pid=1593)
notice 2026-10-11T23:52:10 notice A Read sensitive file untrusted (user=root command=sh pid=7651)
notice 2026-10-11T22:12:27 notice A Terminal shell in container (user=root command=sh pid=8609)
Ladenie: potlačiť falošné pozitívum

Panel nemení konfiguráciu Falco — iba zobrazuje úryvok a príkazy, ktoré na serveri použijete cez SSH.

1. Vytvorte súbor s prepísaním, ktorý obsahuje výnimku:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <PRESNÝ NÁZOV PRAVIDLA zo zoznamu vyššie>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Skontrolujte a reštartujte Falco:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Použite presný názov pravidla. Ak sa v zozname zobrazuje text správy namiesto názvu, zapnite JSON výstup v falco.yaml (json_output: true), potom panel získa presné názvy pravidiel.

Prevádzkovať Falco na bežnom serveri, bez Kubernetes

O Falcu sa zvyčajne hovorí ako o nástroji pre Kubernetes a takmer všetko, čo sa o ňom píše, predpokladá cluster. Funguje výborne aj na celkom bežnom linuxovom serveri, kde sleduje systémové volania a vyvolá výstrahu, keď proces urobí niečo, čo mu neprislúcha: spustí shell z webového servera, zapíše do adresára so systémovými binárkami, prečíta citlivé súbory alebo otvorí nečakané odchádzajúce spojenie.

Táto stránka ukazuje výstrahy s prioritou, spustené pravidlo a proces s príkazovým riadkom, ktoré za nimi stoja. Práve tento posledný detail odlišuje Falco od nástrojov založených na logu: hlási, čo proces skutočne urobil, nie to, čo si o tom služba zmyslela napísať.

Predvolený súbor pravidiel je písaný s ohľadom na kontajnery a na holom serveri bude hlučný, kým ho neusadíte. Správcovia balíkov, zálohovacie úlohy a cronové skripty pravidelne spúšťajú pravidlá určené na lapanie votrelcov. Rátajte s hodinou dvomi na umlčanie legitímneho správania, kým sa výstup stane použiteľným: prúd výstrah, ktorý nikto nečíta, je to isté ako žiadne výstrahy.