Falco — bảo mật runtime

Mua Self-Hosted Protection
Live
Demo
Falco
Đang chạy
Sự kiện trong 24 giờ: 45
Nghiêm trọng
0
Sự kiện trong 24 giờ
Cảnh báo
9
Thông báo: 16
Quy tắc hàng đầu
5
Tổng cộng: 45
Quy tắc hàng đầu
Read sensitive file untrusted 5
Write below etc 4
Terminal shell in container 1
Detect outbound connections to common miner pools 0
Run shell untrusted 0
Sự kiện gần đây 45
warning 2026-10-12T05:08:00 warning A Terminal shell in container (user=root command=sh pid=3220)
warning 2026-10-12T04:59:30 warning A Terminal shell in container (user=root command=sh pid=2226)
notice 2026-10-12T04:54:48 notice A Read sensitive file untrusted (user=root command=sh pid=3849)
warning 2026-10-12T02:49:21 warning A Write below etc (user=root command=sh pid=6829)
notice 2026-10-12T02:09:44 notice A Terminal shell in container (user=root command=sh pid=9440)
warning 2026-10-12T01:45:50 warning A Detect outbound connections to common miner pools (user=root command=sh pid=8100)
warning 2026-10-12T00:35:48 warning A Run shell untrusted (user=root command=sh pid=3920)
notice 2026-10-12T02:00:45 notice A Terminal shell in container (user=root command=sh pid=4876)
notice 2026-10-11T23:33:04 notice A Terminal shell in container (user=root command=sh pid=4516)
notice 2026-10-12T01:53:18 notice A Write below etc (user=root command=sh pid=2344)
notice 2026-10-12T02:14:40 notice A Read sensitive file untrusted (user=root command=sh pid=6463)
warning 2026-10-11T22:27:36 warning A Terminal shell in container (user=root command=sh pid=7702)
notice 2026-10-11T22:01:24 notice A Terminal shell in container (user=root command=sh pid=1258)
notice 2026-10-12T00:13:59 notice A Write below etc (user=root command=sh pid=4547)
notice 2026-10-11T21:25:18 notice A Run shell untrusted (user=root command=sh pid=8849)
warning 2026-10-11T19:27:30 warning A Terminal shell in container (user=root command=sh pid=4474)
warning 2026-10-11T23:06:08 warning A Detect outbound connections to common miner pools (user=root command=sh pid=7092)
warning 2026-10-12T01:06:19 warning A Write below etc (user=root command=sh pid=3210)
notice 2026-10-12T00:02:00 notice A Write below etc (user=root command=sh pid=8245)
Tinh chỉnh: tắt cảnh báo giả

Bảng điều khiển không thay đổi cấu hình Falco — chỉ hiển thị đoạn mã và lệnh để bạn tự áp dụng trên máy chủ qua SSH.

1. Tạo tệp ghi đè với ngoại lệ:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <TÊN CHÍNH XÁC CỦA QUY TẮC từ danh sách trên>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Kiểm tra và khởi động lại Falco:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Dùng đúng tên quy tắc. Nếu danh sách hiển thị nội dung thông báo thay vì tên — hãy bật xuất JSON trong falco.yaml (json_output: true), khi đó panel sẽ nhận được tên quy tắc chính xác.

Chạy Falco trên một máy chủ thường, không cần Kubernetes

Người ta thường nói về Falco như một công cụ của Kubernetes, và gần như mọi thứ viết về nó đều giả định có một cụm máy. Nó chạy rất tốt trên một máy chủ Linux hoàn toàn bình thường, nơi nó theo dõi các lời gọi hệ thống và phát cảnh báo khi một tiến trình làm điều không thuộc phần việc của mình: mở một shell từ máy chủ web, ghi vào thư mục chứa tệp nhị phân hệ thống, đọc các tệp nhạy cảm, hay mở một kết nối đi ra ngoài không mong đợi.

Trang này hiện các cảnh báo kèm mức ưu tiên, quy tắc đã kích hoạt, cùng tiến trình và dòng lệnh đứng sau chúng. Chính chi tiết cuối cùng ấy phân biệt Falco với những công cụ dựa trên nhật ký: nó báo lại điều một tiến trình thực sự đã làm, chứ không phải điều một dịch vụ chọn để viết về việc đó.

Bộ quy tắc mặc định được viết với container trong đầu và sẽ ồn ào trên một máy chủ trần cho tới khi được tinh chỉnh. Trình quản lý gói, các tác vụ sao lưu và kịch bản cron thường xuyên kích hoạt những quy tắc vốn dành để bắt kẻ xâm nhập. Hãy dành một đến hai giờ để làm im những hành vi hợp lệ trước khi kết quả trở nên dùng được: một dòng cảnh báo không ai đọc thì cũng như không có cảnh báo nào.