Εργαλεία ασφαλείας ανοιχτού κώδικα
Falco: Ανίχνευση απειλών χρόνου εκτέλεσης για κοντέινερ
Το Falco είναι το εργαλείο ασφαλείας χρόνου εκτέλεσης CNCF που παρακολουθεί τις κλήσεις συστήματος. Οι κανόνες περιγράφουν συμπεριφορές που δεν πρέπει ποτέ να συμβούν (ένα κέλυφος που γεννήθηκε στο nginx, κάποιος που διαβάζει το /etc/shadow, ένα κοντέινερ που προσαρτά το σύστημα αρχείων του κεντρικού υπολογιστή) και ο Falco ειδοποιεί τη στιγμή που το κάνουν. Είναι το αντίστοιχο της σάρωσης εικόνων: Τα εργαλεία της κατηγορίας Trivy εντοπίζουν γνωστά τρωτά σημεία πριν από την ανάπτυξη, το Falco εντοπίζει κακή συμπεριφορά κατά την εκτέλεση.
Βασικά σημεία
- Η πηγή δεδομένων είναι τα syscalls: μια λειτουργική μονάδα πυρήνα ή ένα σύγχρονο πρόγραμμα οδήγησης eBPF τροφοδοτεί ροές συμβάντων που ταιριάζουν κανόνες με το περιβάλλον διεργασίας/κοντέινερ (εικόνα, χώρος ονομάτων, χρήστης, args syscall), συμπεριλαμβανομένων πεδίων με επίγνωση κοντέινερ όπως μεταδεδομένα ανάπτυξης Kubernetes. αυτός ο φακός σε επίπεδο syscall βλέπει τι χάνει η ανίχνευση βάσει καταγραφής.
- Οι προεπιλεγμένοι κανόνες καλύπτουν τις κλασικές κλάσεις διαφυγής κοντέινερ: προνομιακές εκκινήσεις κοντέινερ, ευαίσθητες αναγνώσεις αρχείων, αντίστροφα κελύφη, απροσδόκητα εργαλεία δικτύου μέσα σε κοντέινερ, εγγραφή κάτω από τις βάσεις και γνωστή αναπαραγωγή αδερφών σε χρόνο εκτέλεσης κοντέινερ. το προεπιλεγμένο σύνολο είναι μια αρχική γραμμή βάσης που προορίζεται να συντονιστεί ανά περιοχή.
- Οι κανόνες είναι κλήσεις YAML και συστήματος, όχι υπογραφές: δεν υπάρχουν τροφοδοσίες CVE για ενημέρωση. Αντίθετα, η πολιτική συμπεριφοράς όπως "spawned_process και proc.name in (δυαδικά αρχεία shellkit)" εκφράζει τις προσδοκίες του κτήματος. η ιστορία συντονισμού είναι σε επίπεδο τάξης (γράψτε v διαβάστε δυαδικά) παρά ανά υπογραφή.
- Η έξοδος βασίζεται σε πρόσθετα: stdout, syslog, Slack, webhook στον ενορχηστρωτή και βασικές σύγχρονες ενσωματώσεις (αυτόματη απόκριση κατηγορίας Falco Talon). Τα περισσότερα κτήματα δείχνουν ειδοποιήσεις στο ίδιο SIEM με το Wazuh (το αφιερωμένο άρθρο μας), επομένως οι ειδοποιήσεις χρόνου εκτέλεσης και τερματικού σημείου συσχετίζονται.
- Το σχήμα ανάπτυξης ταιριάζει με το κτήμα: daemonset στο Kubernetes (πρόγραμμα οδήγησης eBPF σε σύγχρονους πυρήνες), βασισμένο σε κεντρικό υπολογιστή για μεμονωμένους κεντρικούς υπολογιστές Docker. Το αποτύπωμα πόρων είναι μέτριο, αλλά κλονίζεται σε πυρήνες κατηγορίας κόμβων 10G, κάτι που έχει σημασία επειδή οι ανιχνευτές eBPF συνδέονται στενά με τις εκδόσεις και τις διανομές πυρήνα.
- Η ειλικρινής τοποθέτηση στο σετ εργαλείων ασφαλείας μας: Η Falco εντοπίζει την ανάρμοστη συμπεριφορά, δεν την αποτρέπει. Συνδυάστε το με σάρωση εικόνων (Trivy), πολιτικές αποδοχής (εργαλεία περιβάλλοντος ασφαλείας Kubernetes/εργαλεία ενορχήστρωσης) και στοιχεία ελέγχου δικτύου. μια παραβίαση που εντοπίστηκε στις 3 π.μ. αξίζει περισσότερο από μια αναφορά σάρωσης που κανείς δεν διάβασε.
Σημείωση από το πεδίο
Η πρώτη σύλληψη του Falco σε ένα σύμπλεγμα πελατών: μια εικόνα εντοπισμού σφαλμάτων που εστάλη με ένα κέλυφος και κάποιος τη χρησιμοποίησε στην παραγωγή από συνήθεια. Χωρίς CVE, χωρίς χτύπημα σαρωτή, καθαρή συμπεριφορά. Ο κανόνας που ενεργοποιήθηκε ήταν μια προεπιλογή που είχαμε σκοπό να συντονίσουμε. Οι προεπιλογές μερικές φορές κερδίζουν δυνατά τη διατήρηση τους.
Συχνές ερωτήσεις
Falco εναντίον ενός εμπορικού προϊόντος CNDR;
Η Falco καλύπτει τον πυρήνα ανίχνευσης syscall ως ανοιχτού κώδικα με μια μορφή κανόνων που ανήκει στην κοινότητα. Τα εμπορικά εργαλεία προσθέτουν UI, μοντέλα ανωμαλιών ML και ροές εργασίας διαχειριζόμενης απόκρισης και πολλά estate εκτελούν το Falco παράλληλα για το επίπεδο syscall.
Τι συλλαμβάνει η Falco που χάνουν οι σαρωτές;
Συμπεριφορά χρόνου εκτέλεσης: ένα παραβιασμένο διαπιστευτήριο που χρησιμοποιείται για τη δημιουργία ενός κελύφους, ένα κοντέινερ που διαβάζει μυστικά που δεν πρέπει, η περιστροφή από το επίπεδο Ιστού σε ένα σύμπλεγμα Kubernetes. Οι σαρωτές επιθεωρούν τι αποστέλλεται, ο Falco παρακολουθεί τι συμβαίνει.
Είναι υποχρεωτικό το eBPF;
Το πρόγραμμα οδήγησης eBPF είναι η σύγχρονη προεπιλογή και αποφεύγει τη συντήρηση της μονάδας πυρήνα. υπάρχει μια λειτουργική μονάδα πυρήνα παλαιού τύπου για παλαιότερους πυρήνες και η προσθήκη syscall source επεκτείνει το Falco πέρα από τους κεντρικούς υπολογιστές Linux.
Πόσο θορυβώδεις είναι οι προεπιλεγμένοι κανόνες;
Θορυβώδης σε κτήματα με ασυνήθιστα εργαλεία, ειδικά κατά την ανάπτυξη. αναμένετε έναν πραγματικό κύκλο συντονισμού (κανόνες εξαίρεσης ανά χώρο ονομάτων) τις πρώτες εβδομάδες προτού οι ειδοποιήσεις γίνουν λειτουργικά ψυχρές αντί για αυτόματο θόρυβο φόντου.
Πώς βοηθάει η Kinetikatech στα εργαλεία ασφαλείας ανοιχτού κώδικα
Δεν χρειάζεται να γίνετε ειδικός στα εργαλεία ασφαλείας ανοιχτού κώδικα: Οι επαγγελματίες της εργαλειοθήκης δοκιμών παραμένουν πραγματικά φορτωμένοι: σαρωτές, sniffers, crackers και web proxies εξήγησαν τον τρόπο με τον οποίο χρησιμοποιούνται σε πραγματικές δεσμεύσεις - εντολές, σημαίες, εξόδους και πού βρίσκεται το καθένα σε μια μεθοδολογία. Ακριβώς αυτό κάνουν οι υπηρεσίες Δοκιμές διείσδυσης and Ασφάλεια διακομιστών Linux, εγκατάσταση, ενίσχυση, παρακολούθηση και ένας άνθρωπος διαθέσιμος μέρα και νύχτα.