Безбедносни алати отвореног кода
Фалцо: Детекција претњи током извршавања за контејнере
Фалцо је ЦНЦФ алат за безбедност који прати системске позиве; правила описују понашања која никада не би требало да се десе (љуска настала у нгинк-у, неко чита /етц/схадов, контејнер који монтира хост фајл систем), а Фалцо упозорава у тренутку када се то догоди. То је пандан скенирању слика: алати Триви класе хватају познате рањивости пре примене, Фалцо хвата лоше понашање током рада.
Кључне точке
- Извор података су системски позиви: модул кернела или модерни еБПФ драјвер напаја токове догађаја који се правила подударају са контекстом процеса/контејнера (слика, простор имена, корисник, аргументи системског позива), укључујући поља која су свесна контејнера као што су метаподаци за примену Кубернетеса; овај објектив на нивоу системског позива види шта детекција заснована на евиденцији пропушта.
- Подразумевана правила покривају класичне класе избегавања контејнера: привилегована покретања контејнера, осетљива читања датотека, обрнуте љуске, неочекивани мрежни алати унутар контејнера, уписивање испод монтаже и познато рађање браће и сестара у време извођења контејнера; подразумевани скуп је почетна основна линија намењена за подешавање по имању.
- Правила су ИАМЛ и системски позиви, а не потписи: нема ЦВЕ фидова за ажурирање; уместо тога политика понашања као што су 'спавнед_процесс и проц.наме у (схеллкит бинари)' изражава очекивања имања; прича о подешавању је на нивоу класе (писање в читање бинарних датотека) а не по потпису.
- Излаз је заснован на додацима: стдоут, сислог, Слацк, вебхоок за оркестратор и кључне модерне интеграције (аутоматски одговор Фалцо Талон класе); већина имања упућује упозорења на исти СИЕМ као и Вазух (наш наменски чланак), тако да су времена извршавања и упозорења крајње тачке у корелацији.
- Облик имплементације одговара имању: даемонсет на Кубернетес-у (еБПФ драјвер на модерним кернелима), базиран на хосту за самосталне Доцкер хостове; Отисак ресурса је скроман, али се тресе на језгрима класе 10Г чворова, што је важно јер су еБПФ сонде блиско повезане са верзијама кернела и дистрибуцијама.
- Искрено позиционирање у нашем сету безбедносних алата: Фалцо открива недолично понашање, не спречава га; упарите га са скенирањем слика (Триви), смерницама пријема (Кубернетес безбедносни контекст/алат за оркестрацију) и мрежним контролама; пробој ухваћен у 3 сата ујутру вреди више од извештаја о скенирању који нико није прочитао.
Теренска биљешка
Фалцо-ов први улов на кластеру клијената: слика за отклањање грешака која се испоручује са шкољком, а неко ју је користио у производњи из навике. Без ЦВЕ-а, без погодака скенера, чисто понашање. Правило које је покренуто је подразумевано које смо хтели да подесимо. Подразумеване вредности понекад гласно зарађују.
Цесто постављања питања
Фалцо против комерцијалног ЦНДР производа?
Фалцо покрива језгро за откривање системских позива као отворени код са форматом правила у власништву заједнице; комерцијални алати додају УИ, МЛ моделе аномалија и управљане токове рада одговора, а многа имања покрећу Фалцо заједно са слојем системског позива.
Шта Фалцо хвата што скенери пропуштају?
Понашање током извршавања: компромитовани акредитив који се користи за стварање љуске, контејнер који чита тајне које не би требало, окретање са веб нивоа у Кубернетес кластер; скенери прегледају шта је послато, Фалцо гледа шта се дешава.
Да ли је еБПФ обавезан?
еБПФ драјвер је модеран подразумевани и избегава одржавање модула кернела; за старије кернеле постоји застарели модул кернела, а изворни додатак системског позива проширује Фалцо изван Линук хостова.
Колико су бучна подразумевана правила?
Бучно на имањима са необичним алатима, посебно током распоређивања; очекујте прави циклус подешавања (правила изузетака по простору имена) током првих недеља пре него што упозорења постану оперативно хладна, а не аутоматска позадинска бука.
Како Kinetikatech помаже код безбедносни алати отвореног кода
Ово смо рјешавали стотине пута: Професионалци у кутији алата за тестирање су заправо пуни: скенери, њушкари, крекери и веб проксији објаснили су начин на који се користе у стварним ангажманима — команде, заставице, излази и где се сваки налази у методологији. С Penetration Testing и Linux Server Security добивате пуни круг: процјењујемо, имплементирамо, надзиремо без престанка и интервенирамо у 30 минута кад је потребно.