Uirlisí Slándála Foinse Oscailte
Falco: Brath Bagairt Am Reatha le haghaidh Coimeádáin
Is uirlis slándála ama rite CNCF é Falco a bhreathnaíonn ar ghlaonna córais; déanann rialacha cur síos ar iompraíochtaí nár cheart go n-éireodh choíche (sceite blaosc i nginx, duine ag léamh /etc/scáth, coimeádán ag gléasadh suas an chórais comhad óstaigh), agus Falco foláirimh an nóiméad a dhéanann siad. Is é an comhghleacaí le scanadh íomhánna: Gabhann uirlisí den chineál fánach leochaileachtaí aitheanta sula n-imscartar iad, glacann Falco mí-iompar agus é ag rith.
Príomhphointí
- Is é an fhoinse sonraí ná syscalls: cothaíonn modúl eithne nó tiománaí nua-aimseartha eBPF sruthanna imeachta a mheaitseálann na rialacha le comhthéacs próisis/coimeádáin (íomhá, ainmspás, úsáideoir, args syscall), lena n-áirítear réimsí feasach ar choimeádán mar meiteashonraí imlonnaithe Kubernetes; Feiceann an lionsa leibhéal syscall seo cad a chailleann braite logbhunaithe.
- Clúdaíonn rialacha réamhshocraithe na haicmí clasaiceacha coimeádán-éalaithe: tosaíonn coimeádán faoi phribhléid, léitear comhaid íogaire, sliogán droim ar ais, uirlisí líonra gan choinne laistigh de choimeádáin, scríobh thíos feisteáin, agus sceathraí deartháireacha nó deirfiúracha coimeádán-reatha; is bunlíne tosaigh é an tacar réamhshocraithe atá ceaptha a bheith tiúnta in aghaidh an eastáit.
- Is iad na rialacha ná YAML agus glaonna córais, ní sínithe: níl aon fhothaí CVE le nuashonrú; ina ionad sin cuireann polasaí iompair ar nós 'spawned_process and proc.name in (shellkit binaries)' ionchais an eastáit in iúl; tá an scéal tiúnta ag leibhéal ranga (scríobh v léamh dénártha) seachas in aghaidh an tsínithe.
- Tá an t-aschur bunaithe ar bhreiseáin: stdout, syslog, Slack, webhook don cheolfhoireann, agus príomh-imeascadh nua-aimseartha (freagra uathoibrithe de chuid Falco Talon); cuireann an chuid is mó d’eastáit foláirimh ag an SIEM céanna le Wazuh (ár n-alt tiomnaithe) agus mar sin tá comhghaol idir foláirimh am rite agus críochphointí.
- Meaitseálann cruth an imlonnaithe an t-eastát: deamhan ar Kubernetes (tiománaí eBPF ar eithne nua-aimseartha), óstach-bhunaithe le haghaidh óstaigh aonair Docker; tá lorg acmhainne measartha ach croitheann sé ar eithne aicme 10G nód, rud atá tábhachtach toisc go bhfuil nasc dlúth ag tóireadóirí eBPF le leaganacha eithne agus distros.
- An suíomh macánta inár sraith uirlisí slándála: Aimsíonn Falco mí-iompar, ní chuireann sé cosc air; péireáil sé le scanadh íomhá (Trivy), beartais iontrála (uirlisiú comhthéacs slándála / ceolfhoireann slándála Kubernetes), agus rialuithe líonra; is fiú níos mó sárú a gabhadh ag 3 a.m. ná tuairisc scanta a léigh aon duine.
Nóta allamuigh
An chéad ghabháil a rinne Falco ar bhraisle cliant: íomhá dífhabhtaithe a sheol le blaosc, agus d’úsáid duine éigin í i dtáirgeadh as an ngnáth. Uimh CVE, aon bhuail scanóir, iompar íon. Ba é an riail go fired réamhshocraithe a bhí i gceist againn a tune. Uaireanta tuilleann mainneachtain a gcoimeád os ard.
Ceisteanna coitianta
Falco vs táirge CNDR tráchtála?
Clúdaíonn Falco an croí-bhrath syscall mar fhoinse oscailte le formáid rialacha atá faoi úinéireacht an phobail; cuireann uirlisí tráchtála samhlacha Chomhéadain, ML aimhrialtacht, agus sreafaí oibre freagartha bainistithe, agus ritheann go leor eastát Falco taobh le taobh le haghaidh na sraithe syscall.
Cad a dhéanann Falco ghabháil a chailleann scanóirí?
Iompar ré rite: dintiúr comhréiteach a úsáidtear chun blaosc a sceitheadh, coimeádán ag léamh rúin nár cheart dó, an mhaighdeog ón tsraith gréasáin isteach i mbraisle Kubernetes; déanann scanóirí iniúchadh ar an méid a sheoltar, féachann Falco ar cad a tharlaíonn.
An bhfuil eBPF éigeantach?
Is é an tiománaí eBPF an réamhshocrú nua-aimseartha agus seachnaíonn sé cothabháil modúl eithne; tá modúl eithne oidhreachta ann le haghaidh eithne níos sine, agus leathnaíonn an breiseán foinse syscall Falco thar óstaigh Linux.
Cé chomh callánach atá na rialacha réamhshocraithe?
Torann ar eastáit le huirlisiú neamhghnách, go háirithe le linn imscaradh; bí ag súil le fíor-thimthriall tiúnta (rialacha eisceachta in aghaidh an ainmspáis) sna chéad seachtainí sula n-éireoidh foláirimh fuar inoibrithe seachas torann cúlra uathoibríoch.
Conas a chabhraíonn Kinetikatech le uirlisí slándála foinse oscailte
Rinneadh sin na céadta uair againn: Coinníonn gairmithe an bhosca uirlisí tástála luchtaithe i ndáiríre: mhínigh scanóirí, sniffers, crackers, agus seachvótálaithe gréasáin an bealach a n-úsáidtear iad ar fhíorgheallta - orduithe, bratacha, aschuir, agus an áit a shuíonn gach ceann acu i modheolaíocht. Le Tástáil Treáite agus Slándáil Freastalaithe Linux faigheann tú an lúb iomlán: déanaimid measúnú, cuirimid i bhfeidhm, leanaimid gan stad agus idirghabhaimid laistigh de 30 nóiméad nuair is gá.