أدوات الأمان مفتوحة المصدر
Falco: اكتشاف تهديدات وقت التشغيل للحاويات
Falco هي أداة أمان وقت التشغيل CNCF التي تراقب مكالمات النظام؛ تصف القواعد السلوكيات التي لا ينبغي أن تحدث أبدًا (صدفة ظهرت في nginx، شخص يقرأ /etc/shadow، حاوية مثبتة على نظام الملفات المضيف)، وينبه Falco في اللحظة التي يحدثون فيها ذلك. إنه النظير لمسح الصور: أدوات Trivy تكتشف الثغرات الأمنية المعروفة قبل نشرها، ويكتشف Falco سوء السلوك أثناء التشغيل.
النقاط الرئيسية
- مصدر البيانات هو syscalls: وحدة kernel أو برنامج تشغيل eBPF حديث يغذي تدفقات الأحداث التي تتطابق القواعد مع سياق العملية/الحاوية (الصورة، مساحة الاسم، المستخدم، وسيطات syscall)، بما في ذلك الحقول المرتبطة بالحاوية مثل البيانات التعريفية لنشر Kubernetes؛ ترى هذه العدسة على مستوى syscall ما يفتقده الاكتشاف المستند إلى السجل.
- تغطي القواعد الافتراضية فئات الهروب من الحاوية الكلاسيكية: بدء تشغيل الحاوية المميزة، وقراءة الملفات الحساسة، والأصداف العكسية، وأدوات الشبكة غير المتوقعة داخل الحاويات، والكتابة أدناه، والتكاثر المعروف للأخوة في وقت تشغيل الحاوية؛ المجموعة الافتراضية هي خط أساس للبدء من المفترض أن يتم ضبطه لكل عقار.
- القواعد هي YAML واستدعاءات النظام، وليست التوقيعات: لا توجد خلاصات CVE لتحديثها؛ بدلاً من ذلك، تعبر سياسة السلوك مثل 'spawned_process وproc.name في (shellkit binaries)' عن توقعات المؤسسة؛ قصة الضبط تكون على مستوى الفصل (كتابة ثنائيات قراءة) وليس لكل توقيع.
- يعتمد الإخراج على المكونات الإضافية: stdout، وsyslog، وSlack، وخطاف الويب للمنسق، وعمليات التكامل الحديثة الرئيسية (الاستجابة الآلية من فئة Falco Talon)؛ تشير معظم العقارات إلى تنبيهات SIEM نفسها مثل Wazuh (مقالتنا المخصصة)، لذا ترتبط تنبيهات وقت التشغيل ونقطة النهاية.
- يتطابق شكل النشر مع الحالة: daemonset على Kubernetes (برنامج تشغيل eBPF على النوى الحديثة)، المستند إلى المضيف لمضيفي Docker المستقلين؛ تعد بصمة الموارد متواضعة ولكنها تهتز على نوى فئة العقدة 10G، وهو أمر مهم لأن تحقيقات eBPF ترتبط ارتباطًا وثيقًا بإصدارات النواة وتوزيعاتها.
- الموضع الصادق في مجموعة أدوات الأمان لدينا: تكتشف Falco سوء السلوك، ولا تمنعه؛ قم بإقرانه بمسح الصور (Trivy)، وسياسات القبول (سياق الأمان/أدوات التنسيق في Kubernetes)، وعناصر التحكم في الشبكة؛ إن الانتهاك الذي تم اكتشافه في الساعة الثالثة صباحًا يستحق أكثر من تقرير المسح الذي لم يقرأه أحد.
ملاحظة ميدانية
أول اكتشاف لـ Falco في مجموعة عملاء: صورة تصحيح أخطاء يتم شحنها مع غلاف، وقد استخدمها شخص ما في الإنتاج بدافع العادة. لم يكن هناك CVE، ولم يتم ضرب الماسح الضوئي، وكان السلوك نقيًا. كانت القاعدة التي تم إطلاقها بمثابة قاعدة افتراضية كنا نهدف إلى ضبطها. في بعض الأحيان تكتسب التخلف عن السداد مكانتها بصوت عالٍ.
أسئلة شائعة
فالكو مقابل منتج CNDR التجاري؟
يغطي Falco جوهر اكتشاف syscall كمصدر مفتوح بتنسيق قواعد مملوك للمجتمع؛ تضيف الأدوات التجارية نماذج شذوذ واجهة المستخدم وتعلم الآلة وسير عمل الاستجابة المُدارة، وتقوم العديد من العقارات بتشغيل Falco جنبًا إلى جنب مع طبقة syscall.
ما الذي يلتقطه فالكو وتفتقده الماسحات الضوئية؟
سلوك وقت التشغيل: بيانات اعتماد مخترقة تُستخدم لإنتاج الصدفة، وحاوية لقراءة الأسرار لا ينبغي لها ذلك، والتحول من طبقة الويب إلى مجموعة Kubernetes؛ تقوم الماسحات الضوئية بفحص ما تم شحنه، ويراقب فالكو ما يحدث.
هل eBPF إلزامي؟
برنامج تشغيل eBPF هو برنامج التشغيل الافتراضي الحديث ويتجنب صيانة وحدة kernel؛ توجد وحدة kernel قديمة للنواة الأقدم، ويقوم البرنامج الإضافي لمصدر syscall بتوسيع Falco إلى ما هو أبعد من مضيفي Linux.
ما مدى ضجيج القواعد الافتراضية؟
مزعجة في العقارات التي تحتوي على أدوات غير عادية، خاصة أثناء عمليات النشر؛ توقع دورة ضبط حقيقية (قواعد استثناء لكل مساحة اسم) خلال الأسابيع الأولى قبل أن تصبح التنبيهات باردة بشكل فعال بدلاً من ضجيج الخلفية التلقائي.
كيف تساعدك Kinetikatech في أدوات الأمان مفتوحة المصدر
باختصار: يستمر محترفو مجموعة أدوات الاختبار في التحميل: حيث أوضحت الماسحات الضوئية والمتشممون والمفرقعات ووكلاء الويب طريقة استخدامها في الارتباطات الحقيقية - الأوامر والأعلام والمخرجات ومكان كل منها في المنهجية. سلّمها إلى خدمة اختبارات الاختراق و أمن خوادم لينكس لدينا وهي مغطاة: تقييم سليم وتنفيذ نظيف ومراقبة على مدار الساعة.