Strumenti di sicurezza open source
Falco: rilevamento delle minacce runtime per container
Falco è lo strumento di sicurezza runtime CNCF che controlla le chiamate di sistema; le regole descrivono comportamenti che non dovrebbero mai verificarsi (una shell generata in nginx, qualcuno che legge /etc/shadow, un contenitore che monta il filesystem host) e Falco avvisa nel momento in cui ciò accade. È la controparte della scansione delle immagini: gli strumenti di classe Trivy rilevano le vulnerabilità note prima della distribuzione, Falco rileva comportamenti scorretti durante l'esecuzione.
Punti chiave
- L'origine dati sono le chiamate di sistema: un modulo kernel o un moderno driver eBPF alimenta flussi di eventi che le regole corrispondono al contesto del processo/contenitore (immagine, spazio dei nomi, utente, argomenti della chiamata di sistema), inclusi campi compatibili con il contenitore come i metadati di distribuzione Kubernetes; questa lente a livello di chiamata di sistema vede ciò che manca al rilevamento basato su log.
- Le regole predefinite coprono le classiche classi di escape dei contenitori: avvii privilegiati dei contenitori, letture di file sensibili, shell inverse, strumenti di rete imprevisti all'interno dei contenitori, montaggi di scrittura sotto e spawning noto di fratelli runtime del contenitore; l'insieme predefinito è una linea di base iniziale pensata per essere ottimizzata per ogni proprietà.
- Le regole sono YAML e chiamate di sistema, non firme: nessun feed CVE da aggiornare; invece politiche di comportamento come 'spawned_process e proc.name in (shellkit binaries)' esprimono le aspettative dell'azienda; la storia dell'ottimizzazione è a livello di classe (scrittura o lettura di binari) anziché per firma.
- L'output è basato su plug-in: stdout, syslog, Slack, webhook per l'orchestratore e integrazioni moderne chiave (risposta automatizzata di classe Falco Talon); la maggior parte delle proprietà indirizza gli avvisi allo stesso SIEM di Wazuh (il nostro articolo dedicato) in modo che gli avvisi di runtime e endpoint siano correlati.
- La forma di distribuzione corrisponde alla proprietà: daemonset su Kubernetes (driver eBPF sui kernel moderni), basato su host per host Docker autonomi; L'impronta delle risorse è modesta ma vacilla sui kernel di classe nodo 10G, il che è importante perché le sonde eBPF si collegano strettamente alle versioni e alle distribuzioni del kernel.
- Il posizionamento onesto nel nostro set di strumenti di sicurezza: Falco rileva i comportamenti scorretti, non li previene; abbinarlo alla scansione delle immagini (Trivy), alle policy di ammissione (strumenti di orchestrazione/contesto di sicurezza Kubernetes) e ai controlli di rete; una violazione rilevata alle 3 del mattino vale più di un rapporto di scansione che nessuno ha letto.
Nota dal campo
Il primo problema di Falco su un cluster client: un'immagine di debug fornita con una shell e qualcuno l'ha utilizzata in produzione per abitudine. Nessun CVE, nessun riscontro allo scanner, puro comportamento. La regola attivata era un'impostazione predefinita che intendevamo ottimizzare. Le impostazioni predefinite a volte si guadagnano da vivere a gran voce.
Domande frequenti
Falco contro un prodotto commerciale CNDR?
Falco copre il nucleo di rilevamento delle chiamate di sistema come open source con un formato di regole di proprietà della comunità; gli strumenti commerciali aggiungono interfaccia utente, modelli di anomalie ML e flussi di lavoro di risposta gestiti e molte aziende utilizzano Falco insieme per il livello di chiamata di sistema.
Cosa rileva Falco che non viene rilevato dagli scanner?
Comportamento di runtime: una credenziale compromessa utilizzata per generare una shell, un contenitore che legge segreti che non dovrebbe, il pivot dal livello web in un cluster Kubernetes; gli scanner ispezionano ciò che viene spedito, Falco osserva cosa succede.
L'eBPF è obbligatorio?
Il driver eBPF è il moderno predefinito ed evita la manutenzione del modulo kernel; esiste un modulo kernel legacy per i kernel più vecchi e il plugin sorgente syscall estende Falco oltre gli host Linux.
Quanto sono rumorose le regole predefinite?
Rumoroso nelle proprietà con strumenti insoliti, specialmente durante le distribuzioni; aspettarsi un ciclo di ottimizzazione reale (regole di eccezione per spazio dei nomi) nelle prime settimane prima che gli avvisi diventino operativamente freddi anziché rumore di fondo automatico.
Come Kinetikatech aiuta con strumenti di sicurezza open source
Questo è ciò che facciamo ogni giorno: I professionisti degli strumenti di test continuano a caricarli: scanner, sniffer, cracker e proxy web hanno spiegato il modo in cui vengono utilizzati negli impegni reali: comandi, flag, output e dove ciascuno di essi si trova in una metodologia. Il nostro servizio Penetration test e Sicurezza server Linux lo copre dall'inizio alla fine: valutazione, implementazione, monitoraggio 24/7 e risposta di emergenza in 30 minuti.