Nyílt forráskódú biztonsági eszközök
Falco: Futásidejű fenyegetésészlelés tárolókhoz
A Falco a CNCF futásidejű biztonsági eszköze, amely figyeli a rendszerhívásokat; A szabályok olyan viselkedéseket írnak le, amelyeknek soha nem szabad megtörténniük (az nginx-ben megjelent shell, valaki az /etc/shadow-t olvassa, a gazdagép fájlrendszerét felcsatoló konténer), és a Falco azonnal figyelmeztet. Ez a képszkennelés megfelelője: a Trivy-osztályú eszközök a telepítés előtt elkapják az ismert sebezhetőségeket, a Falco pedig futás közben észleli a helytelen viselkedést.
Kulcspontok
- Az adatforrás a syscalls: egy kernelmodul vagy egy modern eBPF-illesztőprogram olyan eseményfolyamokat táplál, amelyek szabályai illeszkednek a folyamat/tároló kontextushoz (kép, névtér, felhasználó, syscall args), beleértve a konténer-tudatos mezőket, például a Kubernetes telepítési metaadatait; ez a syscall szintű objektív azt látja, hogy mi hiányzik a naplóalapú észlelésből.
- Az alapértelmezett szabályok a klasszikus konténer-kilépési osztályokat fedik le: privilegizált konténerindítások, érzékeny fájlok olvasása, fordított héjak, váratlan hálózati eszközök a tárolókon belül, beillesztések alatti írás és ismert konténer-futásidejű testvérek megjelenése; az alapértelmezett beállítás egy ingatlanonkénti hangolásra szánt kiindulási alap.
- A szabályok YAML- és rendszerhívások, nem aláírások: nincsenek frissítendő CVE-hírcsatornák; ehelyett a viselkedési szabályzat, például a 'spawned_process és proc.name in (shellkit binárisok)' kifejezi a birtok elvárásait; a hangolási sztori osztályszintű (bináris fájlok írása és olvasása), nem aláírásonként.
- A kimenet plugin alapú: stdout, syslog, Slack, webhook a hangszerelőhöz és kulcsfontosságú modern integrációk (Falco Talon-osztályú automatizált válasz); A legtöbb ingatlan ugyanarra a SIEM-re mutat, mint a Wazuh (dedikált cikkünk), így a futásidejű és a végponti riasztások korrelálnak.
- A telepítési forma megfelel a birtoknak: démonset a Kubernetesen (eBPF illesztőprogram modern kerneleken), gazdagép alapú az önálló Docker-állomásokhoz; Az erőforrás-lábnyom szerény, de megingatja a 10G-csomópont-osztályú kerneleket, ami azért számít, mert az eBPF-próbák szorosan kapcsolódnak a kernelverziókhoz és disztribúciókhoz.
- Biztonsági eszközkészletünkben az őszinte pozicionálás: a Falco észleli a visszaéléseket, nem akadályozza meg; párosítsa képszkenneléssel (Trivy), belépési szabályzatokkal (Kubernetes biztonsági kontextus/hangszerelési eszközök) és hálózati vezérlőkkel; egy hajnali 3-kor észlelt szabálysértés többet ér, mint egy vizsgálati jelentés, amelyet senki sem olvasott.
Terepi jegyzet
A Falco első fogása egy kliens klaszteren: egy hibakereső kép, amelyet shell-el szállítottak, és valaki megszokásból használta a gyártás során. Nincs CVE, nincs szkenner találat, tiszta viselkedés. A szabály, amely kiváltott, egy alapértelmezett volt, amelyet hangolni akartunk. Az alapértelmezések néha hangosan kiérdemlik a tartást.
Gyakori kérdések
Falco kontra kereskedelmi CNDR termék?
A Falco a syscall-észlelési magot nyílt forráskódként fedi le, a közösség tulajdonában lévő szabályformátummal; A kereskedelmi eszközök felhasználói felületet, ML anomália modelleket és felügyelt válaszmunkafolyamatokat adnak hozzá, és sok birtokon a Falco mellett fut a rendszerhívási réteg.
Mit fog el a Falco, amit a szkennerek kihagynak?
Futás közbeni viselkedés: feltört hitelesítési adatok, amelyeket egy parancsértelmező létrehozásához használnak, egy tároló olyan titkokat olvas be, amelyeket nem szabadna, a webes szintről egy Kubernetes-fürtre való átállás; a szkennerek ellenőrzik, hogy mit szállítottak, a Falco figyeli, mi történik.
Kötelező az eBPF?
Az eBPF illesztőprogram a modern alapértelmezett, és elkerüli a kernelmodul karbantartását; egy örökölt kernelmodul létezik a régebbi kernelekhez, és a syscall forrásbővítmény kiterjeszti a Falco-t a Linux hosztokon túlra.
Mennyire zajosak az alapértelmezett szabályok?
Zajos a szokatlan szerszámokkal rendelkező telepeken, különösen bevetés közben; valódi hangolási ciklusra (névterenkénti kivételszabályokra) számíthatunk az első hetekben, mielőtt a riasztások működőképessé válnának az automatikus háttérzaj helyett.
Hogyan segít a Kinetikatech a nyílt forráskódú biztonsági eszközök területén
Nap mint nap ezt tesszük: A tesztelő eszköztár szakemberei valójában folyamatosan töltődnek: szkennerek, szippantó készülékek, crackerek és webes proxy-k elmagyarázták, hogyan használják őket valódi műveleteknél – parancsok, jelzők, kimenetek, és hogy mindegyikük hol helyezkedik el a módszertanban. A Behatolási tesztek és Linux-szerverbiztonság szolgáltatásunk mindent lefed az értékeléstől a bevezetésen és a 24/7 felügyeleten át a 30 perces sürgősségi beavatkozásig.