ওপেন সোর্স সিকিউরিটি টুলস
Falco: কন্টেইনারগুলির জন্য রানটাইম হুমকি সনাক্তকরণ
Falco হল CNCF রানটাইম সিকিউরিটি টুল যা সিস্টেম কল দেখে; নিয়মগুলি এমন আচরণগুলিকে বর্ণনা করে যা কখনই ঘটবে না (এনজিনক্সে একটি শেল তৈরি করা হয়েছে, কেউ পড়ছেন /etc/ছায়া, হোস্ট ফাইলসিস্টেম মাউন্ট করা একটি ধারক), এবং ফ্যালকো তাদের করার মুহূর্তে সতর্ক করে। এটি ইমেজ স্ক্যানিং-এর প্রতিরূপ: ট্রিভি-শ্রেণির সরঞ্জামগুলি মোতায়েন করার আগে পরিচিত দুর্বলতাগুলি ধরে, ফ্যালকো চালানোর সময় দুর্ব্যবহার করে।
মূল বিষয়সমূহ
- ডেটার উৎস হল syscalls: একটি কার্নেল মডিউল বা আধুনিক eBPF ড্রাইভার ইভেন্ট স্ট্রীম ফিড করে যে নিয়মগুলি প্রক্রিয়া/কন্টেইনার প্রসঙ্গ (ইমেজ, নেমস্পেস, ব্যবহারকারী, syscall args) এর সাথে মেলে, যেমন Kubernetes ডিপ্লয়মেন্ট মেটাডেটা কন্টেইনার-সচেতন ক্ষেত্রগুলি সহ; এই syscall-স্তরের লেন্সটি লগ-ভিত্তিক সনাক্তকরণ মিস করে তা দেখে।
- ডিফল্ট নিয়মগুলি ক্লাসিক কন্টেইনার-এস্কেপ ক্লাসগুলিকে কভার করে: বিশেষাধিকারপ্রাপ্ত কন্টেইনার শুরু, সংবেদনশীল ফাইল রিডস, রিভার্স শেল, কন্টেইনারের ভিতরে অপ্রত্যাশিত নেটওয়ার্ক টুলস, মাউন্টের নীচে লিখুন এবং পরিচিত কন্টেইনার-রানটাইম ভাইবোন স্পনিং; ডিফল্ট সেট হল একটি প্রারম্ভিক বেসলাইন যার অর্থ প্রতি এস্টেটের জন্য সুর করা।
- নিয়মগুলি হল YAML এবং সিস্টেম কল, স্বাক্ষর নয়: আপডেট করার জন্য কোনও CVE ফিড নেই; পরিবর্তে 'spawned_process এবং proc.name in (shellkit binaries)' মত আচরণ নীতি এস্টেটের প্রত্যাশা প্রকাশ করে; টিউনিং গল্পটি প্রতি স্বাক্ষরের পরিবর্তে ক্লাস-লেভেল (লিখুন v রিড বাইনারি)।
- আউটপুট প্লাগইন-ভিত্তিক: stdout, syslog, Slack, webhook থেকে অর্কেস্ট্রেটরে, এবং কী আধুনিক ইন্টিগ্রেশন (Falco Talon-class স্বয়ংক্রিয় প্রতিক্রিয়া); ওয়াজুহ (আমাদের উত্সর্গীকৃত নিবন্ধ) হিসাবে একই SIEM-এ বেশিরভাগ এস্টেট পয়েন্ট সতর্কতা তাই রানটাইম এবং এন্ডপয়েন্ট সতর্কতাগুলি সম্পর্কযুক্ত।
- স্থাপনার আকৃতি এস্টেটের সাথে মেলে: কুবারনেটসের ডেমনসেট (আধুনিক কার্নেলে ইবিপিএফ ড্রাইভার), স্বতন্ত্র ডকার হোস্টের জন্য হোস্ট-ভিত্তিক; রিসোর্স ফুটপ্রিন্ট পরিমিত কিন্তু 10G-নোড-শ্রেণির কার্নেলে ঝাঁকুনি দেয়, যা গুরুত্বপূর্ণ কারণ eBPF প্রোবগুলি কার্নেল সংস্করণ এবং ডিস্ট্রোসের সাথে ঘনিষ্ঠভাবে সংযুক্ত থাকে।
- আমাদের নিরাপত্তা-সরঞ্জাম সেটে সৎ অবস্থান: Falco অসদাচরণ সনাক্ত করে, এটি প্রতিরোধ করে না; এটিকে ইমেজ স্ক্যানিং (Trivy), ভর্তি নীতি (Kubernetes নিরাপত্তা প্রসঙ্গ/অর্কেস্ট্রেশন টুলিং) এবং নেটওয়ার্ক নিয়ন্ত্রণের সাথে যুক্ত করুন; সকাল 3 টায় ধরা একটি লঙ্ঘন একটি স্ক্যান রিপোর্টের চেয়ে বেশি মূল্যবান যা কেউ পড়ে না।
মাঠের নোট
একটি ক্লায়েন্ট ক্লাস্টারে Falco-এর প্রথম ধরা: একটি ডিবাগিং ইমেজ যা একটি শেল দিয়ে পাঠানো হয়েছে, এবং কেউ অভ্যাসের বাইরে এটি উৎপাদনে ব্যবহার করেছে৷ কোন CVE, কোন স্ক্যানার আঘাত, বিশুদ্ধ আচরণ. গুলি করা নিয়মটি একটি ডিফল্ট ছিল যা আমরা টিউন করতে চেয়েছিলাম। ডিফল্ট কখনও কখনও জোরে তাদের রাখা উপার্জন.
সচরাচর জিজ্ঞাসা
Falco বনাম একটি বাণিজ্যিক CNDR পণ্য?
ফ্যালকো সম্প্রদায়ের মালিকানাধীন একটি নিয়ম বিন্যাস সহ ওপেন সোর্স হিসাবে সিস্কাল-ডিটেকশন কোরকে কভার করে; বাণিজ্যিক সরঞ্জাম UI, ML অসঙ্গতি মডেল এবং পরিচালিত প্রতিক্রিয়া কর্মপ্রবাহ যোগ করে, এবং অনেক এস্টেট syscall স্তরের পাশাপাশি Falco চালায়।
Falco কি স্ক্যানার মিস যে ধরা?
রানটাইম আচরণ: একটি শেল তৈরি করতে ব্যবহৃত একটি আপোসকৃত শংসাপত্র, একটি ধারক পড়ার গোপনীয়তা যা এটি উচিত নয়, ওয়েব টিয়ার থেকে কুবারনেটস ক্লাস্টারে পিভট; স্ক্যানারগুলি কী পাঠানো হয়েছে তা পরিদর্শন করে, ফ্যালকো কী ঘটছে তা দেখে৷
eBPF কি বাধ্যতামূলক?
eBPF ড্রাইভার হল আধুনিক ডিফল্ট এবং কার্নেল-মডিউল রক্ষণাবেক্ষণ এড়িয়ে যায়; একটি লিগ্যাসি কার্নেল মডিউল পুরানো কার্নেলের জন্য বিদ্যমান, এবং syscall সোর্স প্লাগইন Falco কে Linux হোস্টের বাইরে প্রসারিত করে।
ডিফল্ট নিয়ম কত গোলমাল?
অস্বাভাবিক টুলিং সহ এস্টেটে শোরগোল, বিশেষ করে স্থাপনের সময়; স্বয়ংক্রিয় ব্যাকগ্রাউন্ড শব্দের পরিবর্তে সতর্কতাগুলি কার্যকরভাবে ঠান্ডা হওয়ার আগে প্রথম সপ্তাহগুলিতে একটি বাস্তব টিউনিং চক্র (প্রতি-নেমস্পেস ব্যতিক্রম নিয়ম) আশা করুন।
ওপেন সোর্স সিকিউরিটি টুলস নিয়ে Kinetikatech কীভাবে সাহায্য করে
ওপেন সোর্স সিকিউরিটি টুলস বিষয়ে আপনাকে বিশেষজ্ঞ হতে হবে না: টেস্টিং টুলবক্স পেশাদাররা আসলে লোড রাখে: স্ক্যানার, স্নিফার, ক্র্যাকার, এবং ওয়েব প্রক্সিগুলি কীভাবে বাস্তব ব্যস্ততায় ব্যবহার করা হয় তা ব্যাখ্যা করে — কমান্ড, পতাকা, আউটপুট এবং যেখানে প্রতিটি একটি পদ্ধতিতে বসে। পেনিট্রেশন টেস্টিং and Linux সার্ভার নিরাপত্তা ঠিক এই কাজের জন্যই আছে — সেটআপ, হার্ডেনিং, পর্যবেক্ষণ, আর দিনে-রাতে ফোনে থাকা একজন মানুষ।