Инструменти за сигурност с отворен код
Falco: Откриване на заплахи по време на работа за контейнери
Falco е инструментът за сигурност на CNCF по време на изпълнение, който наблюдава системните повиквания; правилата описват поведения, които никога не трябва да се случват (черупка, създадена в nginx, някой, който чете /etc/shadow, контейнер, монтиращ файловата система на хоста), и Falco предупреждава в момента, в който го направят. Това е противоположност на сканирането на изображения: инструменти от клас Trivy улавят известни уязвимости преди внедряване, Falco улавя лошо поведение по време на работа.
Ключови точки
- Източникът на данни е системни извиквания: модул на ядрото или модерен eBPF драйвер захранва потоци от събития, които правилата съвпадат с контекста на процес/контейнер (изображение, пространство от имена, потребител, аргументи на системно извикване), включително полета, съобразени с контейнери, като метаданни за внедряване на Kubernetes; този обектив на ниво системно повикване вижда какво пропуска откриването на базата на журнал.
- Правилата по подразбиране покриват класическите класове за избягване на контейнери: привилегировани стартирания на контейнери, четене на чувствителни файлове, обратни обвивки, неочаквани мрежови инструменти в контейнери, записване под монтиране и известно хвърляне на хайвер на брат по време на изпълнение на контейнер; наборът по подразбиране е начална базова линия, предназначена да бъде настроена за имот.
- Правилата са YAML и системни извиквания, а не подписи: няма CVE канали за актуализиране; вместо това политиката на поведение като „spawned_process and proc.name in (shellkit binaries)“ изразява очакванията на наследството; историята на настройката е на ниво клас (запис срещу четене на двоични файлове), а не на подпис.
- Изходът е базиран на плъгини: stdout, syslog, Slack, webhook към оркестратора и ключови съвременни интеграции (автоматичен отговор от клас Falco Talon); повечето имоти насочват предупреждения към същия SIEM като Wazuh (нашата специална статия), така че предупрежденията за време на изпълнение и крайни точки корелират.
- Формата на внедряване съответства на имуществото: демонет на Kubernetes (eBPF драйвер на модерни ядра), базиран на хост за самостоятелни хостове на Docker; отпечатъкът на ресурсите е скромен, но се разклаща върху ядрата от клас 10G-възел, което има значение, защото eBPF сондите са тясно свързани с версиите на ядрото и дистрибуциите.
- Честното позициониране в нашия набор от инструменти за сигурност: Falco открива неправомерно поведение, не го предотвратява; сдвоете го със сканиране на изображения (Trivy), правила за допускане (инструменти за сигурност/оркестрация на Kubernetes) и мрежови контроли; нарушение, уловено в 3 сутринта, струва повече от доклад от сканиране, който никой не е прочел.
Бележка от терен
Първата уловка на Falco за клиентски клъстер: изображение за отстраняване на грешки, което се доставя с обвивка и някой го използва в производството по навик. Без CVE, без удар на скенера, чисто поведение. Правилото, което се задейства, беше по подразбиране, което искахме да настроим. Неизправностите понякога печелят шумно.
Често задавани въпроси
Falco срещу търговски продукт на CNDR?
Falco покрива ядрото за откриване на syscall като отворен код с формат на правила, собственост на общността; комерсиалните инструменти добавят UI, модели на аномалии в ML и работни потоци с управляван отговор, а много имоти изпълняват Falco заедно за слоя на syscall.
Какво улавя Falco, което пропускат скенерите?
Поведение по време на изпълнение: компрометирани идентификационни данни, използвани за генериране на обвивка, контейнер, който чете тайни, които не трябва, завъртане от уеб ниво в клъстер на Kubernetes; скенери проверяват какво се изпраща, Falco наблюдава какво се случва.
Задължителен ли е eBPF?
Драйверът eBPF е съвременният стандарт по подразбиране и избягва поддръжката на модула на ядрото; съществува наследен модул на ядрото за по-стари ядра, а приставката за източник на syscall разширява Falco извън Linux хостове.
Колко шумни са правилата по подразбиране?
Шумно в имоти с необичайни инструменти, особено по време на внедряване; очаквайте реален цикъл на настройка (правила за изключения за пространство от имена) през първите седмици, преди предупрежденията да станат оперативно студени, а не автоматичен фонов шум.
Как Kinetikatech помага с инструменти за сигурност с отворен код
Това правим днес: Професионалистите от инструментариума за тестване всъщност поддържат заредени: скенери, снифери, кракери и уеб проксита обясниха начина, по който се използват при реални ангажименти – команди, флагове, изходи и къде седи всеки от тях в методологията. Нашата услуга Тестове за проникване и Сигурност на Linux сървъра покрива всичко — от оценка до внедряване, денонощен мониторинг и спешна реакция до 30 минути.