Falco — runtime security — Arcivéo

Falco

Активна

Подій за 24 год: 55

Критичних

Подій за 24 год

Попереджень

Повідомлень: 4

Топ правил

Разом: 55

Топ правил

Read sensitive file untrusted 5

Terminal shell in container 2

Run shell untrusted 2

Write below etc 1

Detect outbound connections to common miner pools 0

Останні події 55

                            warning
                            2026-08-13T22:18:50 warning A Write below etc (user=root command=sh pid=2393)
                        

                            warning
                            2026-08-13T21:51:20 warning A Write below etc (user=root command=sh pid=9573)
                        

                            notice
                            2026-08-13T21:16:08 notice A Write below etc (user=root command=sh pid=7300)
                        

                            warning
                            2026-08-13T21:41:59 warning A Read sensitive file untrusted (user=root command=sh pid=8139)
                        

                            notice
                            2026-08-13T21:03:38 notice A Run shell untrusted (user=root command=sh pid=5586)
                        

                            notice
                            2026-08-13T21:29:50 notice A Detect outbound connections to common miner pools (user=root command=sh pid=4453)
                        

                            warning
                            2026-08-13T21:04:20 warning A Detect outbound connections to common miner pools (user=root command=sh pid=2959)
                        

                            notice
                            2026-08-13T19:05:52 notice A Read sensitive file untrusted (user=root command=sh pid=1547)
                        

Тюнінг: заглушити хибне спрацювання

Панель не змінює конфіг Falco — лише показує сніпет і команди, які ви застосовуєте на сервері через SSH.

1. Створіть файл-перевизначення з винятком:

# /etc/falco/rules.d/local-tuning.yaml
- rule: <ТОЧНА НАЗВА ПРАВИЛА зі списку вище>
  condition: and not fd.name = /path/to/exclude
  append: true

2. Перевірте та перезапустіть Falco:

sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Використовуйте точну назву правила. Якщо у списку показано текст повідомлення, а не назву — увімкніть JSON-вивід у falco.yaml (json_output: true), тоді панель отримає точні назви правил.

Демо-режим