Sigurnosni alati otvorenog koda
Falco: Runtime Threat Detection za spremnike
Falco je CNCF runtime sigurnosni alat koji prati sistemske pozive; pravila opisuju ponašanja koja se nikada ne bi trebala dogoditi (ljuska stvorena u nginxu, netko čita /etc/shadow, spremnik montira datotečni sustav hosta), a Falco upozorava čim se to dogodi. To je pandan skeniranju slike: alati klase Trivy hvataju poznate ranjivosti prije postavljanja, Falco hvata loše ponašanje tijekom rada.
Ključne točke
- Izvor podataka su sistemski pozivi: modul kernela ili moderni eBPF upravljački program hrani tokove događaja koji se pravila podudaraju s kontekstom procesa/spremnika (slika, imenski prostor, korisnik, argumenti sistemskog poziva), uključujući polja svjesna spremnika kao što su metapodaci postavljanja Kubernetesa; ova leća na razini syscall-a vidi ono što otkrivanje temeljeno na zapisniku propušta.
- Zadana pravila pokrivaju klasične klase za izbjegavanje spremnika: povlašteno pokretanje spremnika, osjetljiva čitanja datoteka, obrnute ljuske, neočekivani mrežni alati unutar spremnika, pisanje ispod montiranja i poznato mriještenje sličnog vremena izvođenja spremnika; zadani skup početna je osnovna linija namijenjena podešavanju po imanju.
- Pravila su YAML i sistemski pozivi, a ne potpisi: nema CVE feedova za ažuriranje; umjesto toga politika ponašanja poput 'spawned_process and proc.name in (shellkit binaries)' izražava očekivanja posjeda; priča o podešavanju je na razini klase (pisati v čitati binarne), a ne po potpisu.
- Izlaz se temelji na dodacima: stdout, syslog, Slack, webhook za orkestrator i ključne moderne integracije (automatski odgovor klase Falco Talon); većina imanja usmjerava upozorenja na isti SIEM kao i Wazuh (naš posvećeni članak), tako da su upozorenja o vremenu izvođenja i krajnjoj točki u korelaciji.
- Oblik implementacije odgovara posjedu: daemonset na Kubernetesu (eBPF drajver na modernim jezgrama), baziran na hostu za samostalne Docker hostove; otisak resursa je skroman, ali drma na kernelima klase 10G čvorova, što je važno jer su eBPF sonde usko povezane s verzijama kernela i distribucijama.
- Iskreno pozicioniranje u našem skupu sigurnosnih alata: Falco otkriva nedolično ponašanje, ne sprječava ga; uparite ga sa skeniranjem slika (Trivy), pristupnim pravilima (Kubernetes sigurnosni kontekst/alat za orkestraciju) i mrežnim kontrolama; provala uhvaćena u 3 ujutro vrijedi više od izvješća skeniranja koje nitko nije pročitao.
Terenska bilješka
Falcoova prva začkoljica na klasteru klijenata: slika za otklanjanje pogrešaka koja je isporučena s ljuskom, a netko ju je koristio u proizvodnji iz navike. Bez CVE-a, bez skenera, čisto ponašanje. Pravilo koje se aktiviralo bilo je zadano koje smo namjeravali podesiti. Zadani ponekad glasno zarađuju.
Često postavljana pitanja
Falco naspram komercijalnog CNDR proizvoda?
Falco pokriva jezgru za otkrivanje syscall-a kao open source s formatom pravila u vlasništvu zajednice; komercijalni alati dodaju UI, modele anomalija ML-a i tijekove rada s upravljanim odgovorima, a mnoga imanja pokreću Falco zajedno za sloj syscall-a.
Što Falco hvata, a skeneri propuštaju?
Ponašanje u vremenu izvođenja: ugrožena vjerodajnica koja se koristi za stvaranje ljuske, spremnik koji čita tajne koje ne bi trebao, pivot s web razine u Kubernetes klaster; skeneri provjeravaju što se šalje, Falco prati što se događa.
Je li eBPF obavezan?
eBPF upravljački program je moderna zadana postavka i izbjegava održavanje kernel-modula; naslijeđeni kernel modul postoji za starije kernele, a syscall izvorni dodatak proširuje Falco izvan Linux hostova.
Koliko su bučna zadana pravila?
Bučan na imanjima s neuobičajenim alatima, posebno tijekom postavljanja; očekujte pravi ciklus podešavanja (pravila iznimke po prostoru imena) tijekom prvih tjedana prije nego što upozorenja postanu operativno hladna, a ne automatska pozadinska buka.
Kako Kinetikatech pomaže kod sigurnosni alati otvorenog koda
Ne morate postati stručnjak za sigurnosni alati otvorenog koda: Profesionalci s alatima za testiranje zapravo drže punim: skeneri, snifferi, krekeri i web proxyji objasnili su način na koji se koriste u stvarnim angažmanima — naredbe, oznake, izlazi i mjesto svakog od njih u metodologiji. Upravo za to postoji Testovi prodiranja i Sigurnost Linux servera: puštanje u rad, jačanje, nadzor i dežurna osoba dan i noć.