Falco Web UI — การแจ้งเตือนโดยไม่ต้องมี Kubernetes

Falco

ทำงานอยู่

เหตุการณ์ใน 24 ชม.: 62

ระดับวิกฤต

เหตุการณ์ใน 24 ชม.

คำเตือน

การแจ้งเตือน: 16

กฎยอดนิยม

รวม: 62

กฎยอดนิยม

Terminal shell in container 3

Read sensitive file untrusted 3

Write below etc 3

Detect outbound connections to common miner pools 1

Run shell untrusted 0

เหตุการณ์ล่าสุด 62

                            notice
                            2026-10-12T11:14:50 notice A Write below etc (user=root command=sh pid=8499)
                        

                            warning
                            2026-10-12T11:03:55 warning A Read sensitive file untrusted (user=root command=sh pid=8063)
                        

                            notice
                            2026-10-12T09:38:02 notice A Write below etc (user=root command=sh pid=3966)
                        

                            warning
                            2026-10-12T10:56:35 warning A Read sensitive file untrusted (user=root command=sh pid=7032)
                        

                            notice
                            2026-10-12T08:40:38 notice A Terminal shell in container (user=root command=sh pid=2471)
                        

                            notice
                            2026-10-12T10:36:00 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8143)
                        

                            notice
                            2026-10-12T09:57:14 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8965)
                        

                            warning
                            2026-10-12T05:25:25 warning A Read sensitive file untrusted (user=root command=sh pid=7117)
                        

                            notice
                            2026-10-12T06:55:06 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8619)
                        

                            notice
                            2026-10-12T10:29:41 notice A Terminal shell in container (user=root command=sh pid=2231)
                        

                            notice
                            2026-10-12T03:11:20 notice A Detect outbound connections to common miner pools (user=root command=sh pid=8140)
                        

                            warning
                            2026-10-12T09:13:28 warning A Read sensitive file untrusted (user=root command=sh pid=5914)
                        

                            warning
                            2026-10-12T07:11:14 warning A Terminal shell in container (user=root command=sh pid=2314)
                        

                            notice
                            2026-10-12T05:51:47 notice A Read sensitive file untrusted (user=root command=sh pid=1779)
                        

                            notice
                            2026-10-12T03:16:58 notice A Read sensitive file untrusted (user=root command=sh pid=8983)
                        

การปรับแต่ง: ปิดเสียงการแจ้งเตือนเท็จ

แดชบอร์ดไม่แก้ไขคอนฟิกของ Falco — เพียงแสดงส니펫และคำสั่งที่คุณนำไปใช้บนเซิร์ฟเวอร์ผ่าน SSH

1. สร้างไฟล์ override พร้อมข้อยกเว้น:

# /etc/falco/rules.d/local-tuning.yaml
- rule: <ชื่อกฎที่แน่นอนจากรายการด้านบน>
  condition: and not fd.name = /path/to/exclude
  append: true

2. ตรวจสอบและรีสตาร์ท Falco:

sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

ใช้ชื่อกฎที่ถูกต้อง หากในรายการแสดงข้อความแทนชื่อ ให้เปิด JSON output ใน falco.yaml (json_output: true) แล้ว panel จะได้รับชื่อกฎที่ถูกต้อง

รัน Falco บนเซิร์ฟเวอร์ธรรมดา โดยไม่ต้องมี Kubernetes

คนมักพูดถึง Falco ในฐานะเครื่องมือของ Kubernetes และเกือบทุกอย่างที่เขียนถึงมันตั้งสมมติฐานว่ามีคลัสเตอร์ แต่มันทำงานได้ดีเยี่ยมบนเซิร์ฟเวอร์ Linux ธรรมดา ๆ เช่นกัน ที่นั่นมันเฝ้าดูซิสเต็มคอลและยกการแจ้งเตือนขึ้นเมื่อกระบวนการทำสิ่งที่ไม่ใช่ธุระของมัน เช่น เปิดเชลล์จากเว็บเซิร์ฟเวอร์ เขียนลงไดเรกทอรีไบนารีของระบบ อ่านไฟล์ที่อ่อนไหว หรือเปิดการเชื่อมต่อขาออกที่ไม่คาดคิด

หน้านี้แสดงการแจ้งเตือนพร้อมลำดับความสำคัญ กฎที่ทำงาน รวมถึงกระบวนการและบรรทัดคำสั่งที่อยู่เบื้องหลัง รายละเอียดสุดท้ายนี่เองที่แยก Falco ออกจากเครื่องมือที่อาศัยบันทึก มันรายงานว่ากระบวนการทำอะไรจริง ๆ ไม่ใช่สิ่งที่บริการเลือกจะเขียนถึงเรื่องนั้น

ชุดกฎค่าเริ่มต้นเขียนขึ้นโดยนึกถึงคอนเทนเนอร์ และจะส่งเสียงดังบนเซิร์ฟเวอร์เปล่าจนกว่าจะปรับแต่ง ตัวจัดการแพ็กเกจ งานสำรองข้อมูล และสคริปต์ cron ทำให้กฎที่ตั้งใจไว้จับผู้บุกรุกทำงานอยู่เป็นประจำ เผื่อเวลาสักหนึ่งถึงสองชั่วโมงเพื่อปิดเสียงพฤติกรรมที่ถูกต้อง ก่อนที่ผลลัพธ์จะใช้งานได้จริง กระแสการแจ้งเตือนที่ไม่มีใครอ่านก็เท่ากับไม่มีการแจ้งเตือนเลย

รัน Falco บนเซิร์ฟเวอร์ธรรมดา โดยไม่ต้องมี Kubernetes

โหมดเดโม