Falco — runtime security

Купити Self-Hosted Protection
Live
Demo
Falco
Активна
Подій за 24 год: 41
Критичних
0
Подій за 24 год
Попереджень
8
Повідомлень: 12
Топ правил
5
Разом: 41
Топ правил
Read sensitive file untrusted 4
Write below etc 3
Run shell untrusted 2
Terminal shell in container 1
Detect outbound connections to common miner pools 1
Останні події 41
warning 2026-10-13T10:17:22 warning A Terminal shell in container (user=root command=sh pid=9531)
warning 2026-10-13T09:49:16 warning A Run shell untrusted (user=root command=sh pid=7634)
notice 2026-10-13T09:41:04 notice A Run shell untrusted (user=root command=sh pid=5386)
notice 2026-10-13T09:29:28 notice A Run shell untrusted (user=root command=sh pid=4819)
notice 2026-10-13T09:31:22 notice A Read sensitive file untrusted (user=root command=sh pid=9663)
notice 2026-10-13T06:48:42 notice A Write below etc (user=root command=sh pid=8141)
warning 2026-10-13T06:28:58 warning A Run shell untrusted (user=root command=sh pid=4151)
warning 2026-10-13T07:08:22 warning A Write below etc (user=root command=sh pid=9580)
notice 2026-10-13T06:35:54 notice A Detect outbound connections to common miner pools (user=root command=sh pid=4201)
notice 2026-10-13T05:18:52 notice A Terminal shell in container (user=root command=sh pid=6956)
warning 2026-10-13T03:07:02 warning A Run shell untrusted (user=root command=sh pid=2537)
warning 2026-10-13T07:36:02 warning A Read sensitive file untrusted (user=root command=sh pid=7889)
notice 2026-10-13T07:49:22 notice A Read sensitive file untrusted (user=root command=sh pid=2623)
notice 2026-10-13T04:46:18 notice A Run shell untrusted (user=root command=sh pid=1164)
warning 2026-10-12T23:11:54 warning A Terminal shell in container (user=root command=sh pid=3416)
notice 2026-10-13T04:46:52 notice A Detect outbound connections to common miner pools (user=root command=sh pid=4859)
notice 2026-10-13T05:50:42 notice A Write below etc (user=root command=sh pid=2740)
warning 2026-10-13T07:51:44 warning A Write below etc (user=root command=sh pid=9155)
Тюнінг: заглушити хибне спрацювання

Панель не змінює конфіг Falco — лише показує сніпет і команди, які ви застосовуєте на сервері через SSH.

1. Створіть файл-перевизначення з винятком:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <ТОЧНА НАЗВА ПРАВИЛА зі списку вище>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Перевірте та перезапустіть Falco:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Використовуйте точну назву правила. Якщо у списку показано текст повідомлення, а не назву — увімкніть JSON-вивід у falco.yaml (json_output: true), тоді панель отримає точні назви правил.

Запускати Falco на звичайному сервері, без Kubernetes

Про Falco зазвичай говорять як про інструмент для Kubernetes, і майже все, що про нього пишуть, припускає кластер. Він чудово працює і на цілком звичайному сервері з Linux, де стежить за системними викликами і здіймає сповіщення, коли процес робить те, що його не стосується: запускає оболонку з вебсервера, пише в каталог системних двійкових файлів, читає чутливі файли або відкриває несподіване вихідне з’єднання.

Ця сторінка показує сповіщення з їхнім пріоритетом, спрацьоване правило, а також процес і командний рядок за ними. Саме ця остання подробиця відрізняє Falco від інструментів, що спираються на журнали: він повідомляє, що процес насправді зробив, а не те, що служба вирішила про це написати.

Типовий набір правил написано з думкою про контейнери, і на голому сервері він буде галасливим, доки його не налаштувати. Менеджери пакунків, завдання резервного копіювання і скрипти cron регулярно спрацьовують на правилах, призначених ловити зловмисників. Закладіть годину-дві на приглушення законної поведінки, перш ніж вивід стане придатним: потік сповіщень, якого ніхто не читає, — те саме, що жодних сповіщень.