Інструменти безпеки з відкритим кодом
Falco: виявлення загроз під час виконання для контейнерів
Falco — це інструмент безпеки під час виконання CNCF, який стежить за системними викликами; правила описують поведінку, яка ніколи не повинна відбуватися (оболонка, породжена в nginx, хтось читає /etc/shadow, контейнер, який монтує файлову систему хоста), і Falco сповіщає, щойно це відбувається. Це аналог сканування зображень: інструменти класу Trivy виявляють відомі вразливості перед розгортанням, Falco виявляє неправильну поведінку під час роботи.
Головне
- Джерелом даних є системні виклики: модуль ядра або сучасний драйвер eBPF передає потоки подій, правила яких збігаються з контекстом процесу/контейнера (зображення, простір імен, користувач, аргументи системного виклику), включаючи поля, що підтримують контейнер, як-от метадані розгортання Kubernetes; ця лінза на рівні системного виклику бачить те, що пропускає виявлення на основі журналу.
- Правила за замовчуванням охоплюють класичні класи escape-контейнерів: привілейований запуск контейнера, читання конфіденційних файлів, зворотні оболонки, неочікувані мережеві інструменти всередині контейнерів, монтування запису нижче та відоме зародження брата під час виконання контейнера; набір за замовчуванням є початковою базовою лінією, призначеною для налаштування для кожного майна.
- Правила — це YAML і системні виклики, а не підписи: немає каналів CVE для оновлення; натомість політика поведінки, як-от «spawned_process і proc.name у (двійкові файли shellkit)» виражає очікування майна; історія налаштування стосується рівня класу (запис v читання двійкових файлів), а не для підпису.
- Вихід базується на плагінах: stdout, syslog, Slack, webhook для оркестратора та ключових сучасних інтеграцій (автоматична відповідь класу Falco Talon); більшість станцій спрямовує сповіщення на той самий SIEM, що й Wazuh (наша спеціальна стаття), тому сповіщення про час виконання та кінцеві точки корелюють.
- Форма розгортання відповідає майну: демонет на Kubernetes (драйвер eBPF на сучасних ядрах), на основі хосту для автономних хостів Docker; ресурсний слід скромний, але трясе на ядрах класу вузлів 10G, що має значення, оскільки зонди eBPF тісно пов’язані з версіями ядра та дистрибутивами.
- Чесне позиціонування в нашому наборі інструментів безпеки: Falco виявляє неправомірну поведінку, а не запобігає їй; поєднайте його зі скануванням зображень (Trivy), політиками доступу (контекст безпеки/інструмент оркестровки Kubernetes) і елементами керування мережею; порушення, виявлене о 3 ранку, коштує більше, ніж звіт про сканування, який ніхто не читав.
Польова нотатка
Перша помилка Falco на клієнтському кластері: образ налагодження, який постачався з оболонкою, і хтось використав його у виробництві за звичкою. Без CVE, без сканування, чиста поведінка. Правило, яке спрацювало, було стандартним, яке ми мали намір налаштувати. Дефолти іноді гучно заробляють.
Часті запитання
Falco проти комерційного продукту CNDR?
Falco охоплює ядро виявлення системних викликів як відкрите з форматом правил, що належить спільноті; комерційні інструменти додають інтерфейс користувача, аномальні моделі машинного навчання та робочі процеси керованого реагування, а багато компаній працюють разом із Falco для рівня системного виклику.
Що вловлює Falco, а сканери пропускають?
Поведінка під час виконання: скомпрометовані облікові дані, які використовуються для створення оболонки, контейнер, який не повинен читати секрети, перехід із веб-рівня в кластер Kubernetes; сканери перевіряють те, що відправляється, Falco спостерігає за тим, що відбувається.
Чи є eBPF обов’язковим?
Драйвер eBPF є сучасним за замовчуванням і уникає обслуговування модуля ядра; застарілий модуль ядра існує для старіших ядер, а вихідний модуль syscall розширює Falco за межі хостів Linux.
Наскільки галасливі стандартні правила?
Шумно в маєтках із незвичайним інструментом, особливо під час розгортання; очікуйте реального циклу налаштування (правила винятків для простору імен) протягом перших тижнів, перш ніж сповіщення стануть робочо холодними, а не автоматичним фоновим шумом.
Допомога Kinetikatech: інструменти безпеки з відкритим кодом
Ми бралися за це сотні разів: Професіонали з інструментів тестування фактично постійно завантажені: сканери, сніфери, зломщики та веб-проксі пояснили, як вони використовуються в реальних залученнях — команди, позначки, виходи та місце кожного з них у методології. Служба Тести на проникнення та Безпека серверів Linux дає замкнений цикл: ми оцінюємо, впроваджуємо, цілодобово стежимо й підхоплюємо за 30 хвилин, коли це критично.