Falco — runtime security

Satın al Self-Hosted Protection
Live
Demo
Falco
Etkin
24 saatteki olaylar: 41
Kritik
0
24 saatteki olaylar
Uyarılar
5
Bildirimler: 6
En çok kural
5
Toplam: 41
En çok kural
Terminal shell in container 3
Read sensitive file untrusted 3
Write below etc 1
Run shell untrusted 1
Detect outbound connections to common miner pools 0
Son olaylar 41
notice 2026-10-13T11:04:09 notice A Detect outbound connections to common miner pools (user=root command=sh pid=1869)
notice 2026-10-13T10:35:59 notice A Write below etc (user=root command=sh pid=3021)
notice 2026-10-13T10:44:23 notice A Run shell untrusted (user=root command=sh pid=5185)
warning 2026-10-13T09:22:27 warning A Detect outbound connections to common miner pools (user=root command=sh pid=8339)
notice 2026-10-13T09:09:25 notice A Terminal shell in container (user=root command=sh pid=7625)
notice 2026-10-13T07:00:54 notice A Read sensitive file untrusted (user=root command=sh pid=3963)
warning 2026-10-13T06:24:15 warning A Run shell untrusted (user=root command=sh pid=6986)
warning 2026-10-13T09:19:02 warning A Detect outbound connections to common miner pools (user=root command=sh pid=5699)
notice 2026-10-13T09:39:37 notice A Read sensitive file untrusted (user=root command=sh pid=6420)
warning 2026-10-13T08:45:33 warning A Detect outbound connections to common miner pools (user=root command=sh pid=8220)
warning 2026-10-13T03:20:29 warning A Run shell untrusted (user=root command=sh pid=1594)
İnce ayar: yanlış pozitifi sustur

Panel Falco yapılandırmasını değiştirmez — yalnızca sunucuda SSH ile uygulayacağınız snippet'i ve komutları gösterir.

1. İstisna içeren bir geçersiz kılma dosyası oluşturun:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <yukarıdaki listeden TAM KURAL ADI>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Falco'yu doğrulayın ve yeniden başlatın:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Tam kural adını kullanın. Listede kural adı yerine mesaj metni görünüyorsa falco.yaml içinde JSON çıktısını etkinleştirin (json_output: true); böylece panel tam kural adlarını alır.

Falco’yu sıradan bir sunucuda, Kubernetes olmadan çalıştırmak

Falco genellikle bir Kubernetes aracı olarak konuşulur ve hakkında yazılanların neredeyse tamamı bir küme varsayar. Sıradan bir Linux sunucuda da gayet iyi çalışır; orada sistem çağrılarını izler ve bir süreç kendisini ilgilendirmeyen bir şey yaptığında uyarı verir: web sunucusundan bir kabuk başlatmak, sistem ikili dizinine yazmak, hassas dosyaları okumak ya da beklenmedik bir giden bağlantı açmak.

Bu sayfa uyarıları önceliğiyle, tetiklenen kuralla ve arkalarındaki süreç ile komut satırıyla birlikte gösterir. Falco’yu günlük tabanlı araçlardan ayıran tam da bu son ayrıntıdır: bir sürecin gerçekte ne yaptığını bildirir, bir servisin bu konuda yazmayı seçtiğini değil.

Varsayılan kural kümesi kapsayıcılar düşünülerek yazılmıştır ve ayarlanana kadar çıplak bir sunucuda gürültülü olacaktır. Paket yöneticileri, yedekleme işleri ve cron betikleri, davetsiz misafirleri yakalamak için tasarlanmış kuralları düzenli olarak tetikler. Çıktı işe yarar hale gelmeden önce meşru davranışı susturmak için bir iki saat ayırın: kimsenin okumadığı bir uyarı akışı, hiç uyarı olmamasıyla aynıdır.