概述

Falco 最初由 Sysdig 于 2016 年创建，是 Kubernetes 的运行时威胁检测引擎。Falco 附带一组默认规则，用于检查内核是否存在意外行为。例如，可能会触发警报以响应名称空间更改、权限升级或意外网络连接。 Kubernetes 审计事件现在也出现在 Falco 支持的事件源列表中。这意味着，一旦 Kubernetes 集群配置为启用审计日志，它就可以将审计日志作为事件发送给 Falco。您可以编写灵活的 Falco 规则来读取这些事件并检测任何类型的主机/容器行为或活动的恶意或其他值得注意的活动。这些警报可以集成到您的事件响应工作流程中，以减少您的响应时间并通过现有流程管理一切。

Falco 可以检测到什么？

Falco 可以检测并警告涉及进行 Linux 系统调用的任何行为。Falco 警报可以通过使用特定系统调用、它们的参数以及调用进程的属性来触发。例如，Falco 可以轻松检测事件，包括但不限于：

• shell 在 Kubernetes 的容器或 pod 中运行。
• /proc容器以特权模式运行，或者正在挂载来自主机的敏感路径，例如。
• 服务器进程正在生成意外类型的子进程。
• 意外读取敏感文件，例如/etc/shadow.
• 将非设备文件写入/dev.
• 标准系统二进制文件（例如ls）正在建立出站网络连接。
• 特权 pod 在 Kubernetes 集群中启动。