Falco — runtime bezbednost

Kupi Self-Hosted Protection
Live
Demo
Falco
Aktivna
Događaja za 24 h: 45
Kritičnih
0
Događaja za 24 h
Upozorenja
9
Obaveštenja: 7
Najčešća pravila
5
Ukupno: 45
Najčešća pravila
Terminal shell in container 2
Read sensitive file untrusted 1
Write below etc 1
Detect outbound connections to common miner pools 0
Run shell untrusted 0
Poslednji događaji 45
notice 2026-10-13T03:50:38 notice A Terminal shell in container (user=root command=sh pid=7534)
notice 2026-10-13T03:09:54 notice A Detect outbound connections to common miner pools (user=root command=sh pid=1258)
warning 2026-10-13T02:11:24 warning A Run shell untrusted (user=root command=sh pid=3024)
notice 2026-10-13T01:42:41 notice A Read sensitive file untrusted (user=root command=sh pid=2901)
notice 2026-10-13T03:21:10 notice A Terminal shell in container (user=root command=sh pid=6287)
warning 2026-10-13T01:26:03 warning A Detect outbound connections to common miner pools (user=root command=sh pid=5567)
notice 2026-10-13T00:13:02 notice A Write below etc (user=root command=sh pid=6748)
warning 2026-10-13T01:55:43 warning A Terminal shell in container (user=root command=sh pid=4351)
notice 2026-10-12T22:14:14 notice A Read sensitive file untrusted (user=root command=sh pid=7460)
warning 2026-10-12T23:31:08 warning A Terminal shell in container (user=root command=sh pid=2604)
notice 2026-10-12T19:57:38 notice A Terminal shell in container (user=root command=sh pid=4526)
warning 2026-10-12T19:27:45 warning A Run shell untrusted (user=root command=sh pid=2255)
warning 2026-10-12T23:06:14 warning A Read sensitive file untrusted (user=root command=sh pid=8812)
warning 2026-10-12T18:38:21 warning A Terminal shell in container (user=root command=sh pid=3500)
warning 2026-10-12T18:02:38 warning A Read sensitive file untrusted (user=root command=sh pid=9570)
warning 2026-10-12T21:01:38 warning A Write below etc (user=root command=sh pid=3177)
Podešavanje: utišaj lažno okidanje

Kontrolna tabla ne menja Falco konfiguraciju — samo prikazuje isečak i komande koje primenjujete na serveru preko SSH-a.

1. Napravite datoteku za nadjačavanje sa izuzetkom:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <TAČAN NAZIV PRAVILA sa liste iznad>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Proverite i ponovo pokrenite Falco:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Koristite tačan naziv pravila. Ako je u listi prikazan tekst poruke umesto naziva — uključite JSON izlaz u falco.yaml (json_output: true), tada će kontrolna tabla dobiti tačne nazive pravila.

Pokretanje Falco na običnom serveru, bez Kubernetes

O Falco se obično govori kao o alatu za Kubernetes, i skoro sve što se o njemu piše pretpostavlja klaster. Odlično radi i na sasvim običnom Linux serveru, gde prati sistemske pozive i podiže upozorenje kada proces uradi nešto što ga se ne tiče: pokrene ljusku iz veb servera, upiše u direktorijum sa sistemskim binarnim datotekama, pročita osetljive datoteke ili otvori neočekivanu odlaznu vezu.

Ova stranica prikazuje upozorenja sa prioritetom, aktivirano pravilo, kao i proces i komandnu liniju iza njih. Upravo ta poslednja pojedinost razlikuje Falco od alata zasnovanih na zapisima: javlja šta je proces zaista uradio, a ne ono što je servis odlučio da o tome napiše.

Podrazumevani skup pravila napisan je sa kontejnerima na umu i biće bučan na golom serveru dok se ne podesi. Upravljači paketima, poslovi rezervnih kopija i cron skripte redovno aktiviraju pravila namenjena hvatanju uljeza. Računajte na sat-dva utišavanja legitimnog ponašanja pre nego što ispis postane upotrebljiv: tok upozorenja koji niko ne čita isto je što i nikakva upozorenja.