Falco Web UI — Kubernetes کے بغیر الرٹس

Falco

فعال

24 گھنٹے میں واقعات: 41

تشویشناک

24 گھنٹے میں واقعات

انتباہات

نوٹسز: 6

سرفہرست قواعد

کل: 41

سرفہرست قواعد

Terminal shell in container 3

Read sensitive file untrusted 3

Write below etc 1

Run shell untrusted 1

Detect outbound connections to common miner pools 0

حالیہ واقعات 41

                            notice
                            2026-10-13T11:04:09 notice A Detect outbound connections to common miner pools (user=root command=sh pid=1869)
                        

                            notice
                            2026-10-13T10:35:59 notice A Write below etc (user=root command=sh pid=3021)
                        

                            notice
                            2026-10-13T10:44:23 notice A Run shell untrusted (user=root command=sh pid=5185)
                        

                            warning
                            2026-10-13T09:22:27 warning A Detect outbound connections to common miner pools (user=root command=sh pid=8339)
                        

                            notice
                            2026-10-13T09:09:25 notice A Terminal shell in container (user=root command=sh pid=7625)
                        

                            notice
                            2026-10-13T07:00:54 notice A Read sensitive file untrusted (user=root command=sh pid=3963)
                        

                            warning
                            2026-10-13T06:24:15 warning A Run shell untrusted (user=root command=sh pid=6986)
                        

                            warning
                            2026-10-13T09:19:02 warning A Detect outbound connections to common miner pools (user=root command=sh pid=5699)
                        

                            notice
                            2026-10-13T09:39:37 notice A Read sensitive file untrusted (user=root command=sh pid=6420)
                        

                            warning
                            2026-10-13T08:45:33 warning A Detect outbound connections to common miner pools (user=root command=sh pid=8220)
                        

                            warning
                            2026-10-13T03:20:29 warning A Run shell untrusted (user=root command=sh pid=1594)
                        

ٹیوننگ: غلط الارم خاموش کریں

پینل Falco کی کنفیگ تبدیل نہیں کرتا — صرف وہ سنیپٹ اور کمانڈز دکھاتا ہے جو آپ SSH کے ذریعے سرور پر لاگو کرتے ہیں۔

1. استثنا کے ساتھ اووَرائیڈ فائل بنائیں:

# /etc/falco/rules.d/local-tuning.yaml
- rule: <اوپر کی فہرست سے قاعدے کا درست نام>
  condition: and not fd.name = /path/to/exclude
  append: true

2. Falco جانچیں اور دوبارہ چلائیں:

sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

قاعدے کا درست نام استعمال کریں۔ اگر فہرست میں نام کے بجائے پیغام کا متن دکھایا گیا ہو — تو falco.yaml میں JSON آؤٹ پٹ فعال کریں (json_output: true)، پھر پینل کو قواعد کے درست نام مل جائیں گے۔

‏Falco کو عام سرور پر، Kubernetes کے بغیر چلانا

‏Falco کا ذکر عموماً Kubernetes کے اوزار کے طور پر ہوتا ہے، اور اس پر لکھی گئی تقریباً ہر چیز کسی کلسٹر کو فرض کرتی ہے۔ وہ بالکل عام Linux سرور پر بھی خوب کام کرتا ہے، جہاں وہ سسٹم کالز پر نظر رکھتا ہے اور تب الرٹ اٹھاتا ہے جب کوئی پروسیس ایسا کام کرے جس سے اس کا کوئی واسطہ نہیں: ویب سرور سے شیل چلانا، سسٹم بائنریوں کی ڈائرکٹری میں لکھنا، حساس فائلیں پڑھنا، یا غیر متوقع باہر جاتا کنکشن کھولنا۔

یہ صفحہ الرٹ ان کی ترجیح کے ساتھ، چلنے والے قاعدے کے ساتھ، اور ان کے پیچھے موجود پروسیس اور کمانڈ لائن کے ساتھ دکھاتا ہے۔ یہی آخری تفصیل Falco کو لاگ پر مبنی اوزاروں سے الگ کرتی ہے: وہ بتاتا ہے کہ پروسیس نے واقعی کیا کیا، نہ کہ وہ جو کسی سروس نے اس بارے میں لکھنے کا فیصلہ کیا۔

طے شدہ قواعد کا مجموعہ کنٹینروں کو ذہن میں رکھ کر لکھا گیا ہے اور خالی سرور پر تب تک شور مچائے گا جب تک اسے سنوارا نہ جائے۔ پیکج مینیجر، بیک اپ کے کام اور cron اسکرپٹ باقاعدگی سے وہ قواعد چلا دیتے ہیں جو دراندازوں کو پکڑنے کے لیے بنے تھے۔ نتیجہ کارآمد ہونے سے پہلے جائز رویّے کو خاموش کرنے کے لیے ایک دو گھنٹے رکھ لیں: ایسا الرٹ کا بہاؤ جسے کوئی نہ پڑھے، الرٹ نہ ہونے کے برابر ہے۔

‏Falco کو عام سرور پر، Kubernetes کے بغیر چلانا

ڈیمو موڈ