Atvirojo kodo saugos įrankiai
„Falco“: konteinerių grėsmių aptikimo laikas
Falco yra CNCF vykdymo saugos įrankis, stebintis sistemos skambučius; taisyklės aprašo elgseną, kurios niekada neturėtų įvykti (nginx sukurtas apvalkalas, kažkas skaito /etc/shadow, konteineris, prijungiantis prieglobos failų sistemą), o Falco įspėja, kai tai daroma. Tai yra vaizdų nuskaitymo atitikmuo: „Trivy“ klasės įrankiai užfiksuoja žinomus pažeidžiamumus prieš įdiegdami, o „Falco“ užfiksuoja netinkamą elgesį paleisdami.
Pagrindiniai punktai
- Duomenų šaltinis yra syscalls: branduolio modulis arba moderni eBPF tvarkyklė tiekia įvykių srautus, kurių taisyklės atitinka proceso / sudėtinio rodinio kontekstą (vaizdą, vardų sritį, vartotoją, syscall parametrus), įskaitant konteinerius žinončius laukus, pvz., Kubernetes diegimo metaduomenis; šis syscall lygio objektyvas mato tai, ko žurnalu pagrįstas aptikimas praleidžia.
- Numatytosios taisyklės apima klasikines konteinerio pabėgimo klases: privilegijuotas sudėtinio rodinio paleidimas, jautrių failų nuskaitymas, atvirkštiniai apvalkalai, netikėti tinklo įrankiai konteineriuose, rašymas žemiau tvirtinimo elementų ir žinomas konteinerio vykdymo laikas. numatytasis rinkinys yra pradinė bazinė linija, kuri turi būti derinama pagal nuosavybę.
- Taisyklės yra YAML ir sistemos iškvietimai, o ne parašai: nereikia atnaujinti CVE informacijos santraukų; Vietoj to elgesio politika, pvz., „spawned_process ir proc.name in (shellkit dvejetainiai failai)“ išreiškia palikimo lūkesčius; derinimo istorija yra klasės lygio (rašyti v skaityti dvejetainius), o ne pagal parašą.
- Išvestis yra pagrįsta papildiniu: stdout, syslog, Slack, webhook prie orkestro ir pagrindinės modernios integracijos (Falco Talon klasės automatinis atsakas); dauguma valdų nukreipia įspėjimus tame pačiame SIEM kaip „Wazuh“ (mūsų skirtas straipsnis), todėl vykdymo laiko ir galutinio taško įspėjimai koreliuoja.
- Diegimo forma atitinka pagrindą: Kubernetes demonset (eBPF tvarkyklė šiuolaikiniuose branduoliuose), pagrindinio kompiuterio pagrindu, skirta atskiriems Docker pagrindiniams kompiuteriams; Išteklių pėdsakas yra nedidelis, bet drebina 10G mazgų klasės branduolius, o tai svarbu, nes eBPF zondai yra glaudžiai susiję su branduolio versijomis ir platinimais.
- Sąžiningas padėties nustatymas mūsų saugos priemonių rinkinyje: Falco aptinka netinkamą elgesį, o ne užkerta kelią; susieti jį su vaizdo nuskaitymu (Trivy), priėmimo politika (Kubernetes saugos konteksto / orkestravimo įrankiais) ir tinklo valdikliais; 3 val. ryto užfiksuotas pažeidimas yra vertas daugiau nei nuskaitymo ataskaita, kurios niekas neskaito.
Pastaba iš praktikos
Pirmasis „Falco“ laimikis klientų grupėje: derinimo vaizdas, kuris buvo išsiųstas su apvalkalu, o kažkas jį panaudojo gamyboje iš įpročio. Jokio CVE, jokio skaitytuvo pataikymo, grynas elgesys. Taisyklė, kuri buvo paleista, buvo numatytoji, kurią norėjome suderinti. Numatytieji kartais užsitarnauja garsiai.
Dažniausiai užduodami klausimai
„Falco“ prieš komercinį CNDR produktą?
„Falco“ apima syscall aptikimo branduolį kaip atvirą kodą, kurio taisyklių formatas priklauso bendruomenei; Komerciniai įrankiai prideda vartotojo sąsajos, ML anomalijų modelius ir valdomas atsako darbo eigas, o daugelis valdų kartu su „Falco“ veikia syscall sluoksniui.
Ką „Falco“ pagauna skaitytuvai?
Elgsena vykdymo metu: pažeisti kredencialai, naudojami apvalkalui sukurti, konteineris, nuskaitantis paslaptis, kurių neturėtų, sukimasis iš žiniatinklio pakopos į Kubernetes klasterį; skaitytuvai tikrina, kas siunčiama, Falco stebi, kas vyksta.
Ar eBPF privalomas?
eBPF tvarkyklė yra šiuolaikinė numatytoji ir vengia branduolio modulio priežiūros; senesniems branduoliams yra senas branduolio modulis, o syscall šaltinio įskiepis išplečia Falco už Linux pagrindinius kompiuterius.
Kiek triukšmingos yra numatytosios taisyklės?
Triukšmingas valdose su neįprastais įrankiais, ypač dislokavimo metu; tikimasi tikro derinimo ciklo (vardų erdvės išimties taisyklės) per pirmąsias savaites, kol įspėjimai taps šalti, o ne automatinis foninis triukšmas.
Kaip Kinetikatech padeda su atvirojo kodo saugos įrankiai
Jums nereikia tapti atvirojo kodo saugos įrankiai ekspertu: Testavimo įrankių rinkinio profesionalai iš tikrųjų yra įkrauti: skaitytuvai, snifferiai, krekeriai ir žiniatinklio įgaliotieji serveriai paaiškino, kaip jie naudojami realioms užduotims atlikti – komandos, vėliavėlės, išvestis ir kur kiekviena iš jų yra metodikoje. Būtent tam ir skirta Pratimų testai ir Linux serverių sauga: paleidimas, sutvirtinimas, stebėjimas ir budintis žmogus dieną ir naktį.