オープンソースのセキュリティ ツール
Falco: コンテナのランタイム脅威検出
Falco は、システム コールを監視する CNCF ランタイム セキュリティ ツールです。ルールには、決して起こってはならない動作 (nginx で生成されたシェル、誰かが /etc/shadow を読み取っている、コンテナがホスト ファイルシステムをマウントしている) が記述されており、それらが起こった瞬間に Falco がアラートを発します。これはイメージ スキャンに相当します。Trivy クラスのツールは展開前に既知の脆弱性を検出し、Falco は実行中に不正行為を検出します。
要点
- データ ソースは syscall です。カーネル モジュールまたは最新の eBPF ドライバーは、Kubernetes デプロイメント メタデータなどのコンテナ対応フィールドを含む、プロセス/コンテナ コンテキスト (イメージ、名前空間、ユーザー、syscall 引数) とルールが一致するイベント ストリームをフィードします。このシステムコールレベルのレンズは、ログベースの検出が見逃しているものを確認します。
- デフォルト ルールは、特権コンテナの起動、機密ファイルの読み取り、リバース シェル、コンテナ内の予期しないネットワーク ツール、マウントの下への書き込み、および既知のコンテナ ランタイム兄弟の生成など、古典的なコンテナ エスケープ クラスをカバーしています。デフォルトのセットは、資産ごとに調整されることを目的とした開始ベースラインです。
- ルールは YAML とシステム コールであり、署名ではありません。更新する CVE フィードはありません。代わりに、「spawned_process と proc.name in (shellkit binaries)」のような動作ポリシーは、不動産の期待を表します。チューニングのストーリーは、シグネチャごとではなく、クラス レベル (バイナリの書き込みと読み取り) です。
- 出力はプラグインベースです: stdout、syslog、Slack、オーケストレーターへの Webhook、および主要な最新の統合 (Falco Talon クラスの自動応答)。ほとんどの資産は、Wazuh (当社の専用記事) と同じ SIEM でアラートをポイントしているため、ランタイム アラートとエンドポイント アラートは相関しています。
- デプロイメントの形状は資産に一致します。Kubernetes 上のデーモンセット (最新のカーネル上の eBPF ドライバー)、スタンドアロン Docker ホストのホストベース。リソースのフットプリントは控えめですが、10G ノードクラスのカーネルでは変動します。eBPF プローブはカーネルのバージョンとディストリビューションと密接に関係しているため、これは重要です。
- 当社のセキュリティ ツール セットにおける正直な位置付け: Falco は不正行為を検出しますが、それを防止するものではありません。イメージ スキャン (Trivy)、アドミッション ポリシー (Kubernetes セキュリティ コンテキスト/オーケストレーション ツール)、およびネットワーク制御と組み合わせます。午前 3 時に発見された侵害は、誰も読まなかったスキャン レポートよりも価値があります。
現場ノート
Falco がクライアント クラスタで最初に発見したのは、シェルに同梱されていたデバッグ イメージで、誰かがそれを習慣的に運用環境で使用したことです。 CVE なし、スキャナーヒットなし、純粋な動作。起動されたルールは、調整する予定だったデフォルトでした。デフォルトは時々大声でその維持を獲得します。
よくある質問
Falco 対商用 CNDR 製品?
Falco は、コミュニティが所有するルール形式を使用して、syscall-detection コアをオープン ソースとしてカバーしています。商用ツールには UI、ML 異常モデル、マネージド対応ワークフローが追加されており、多くの施設ではシステムコール層として Falco を並行して実行しています。
ファルコはスキャナーが見逃したものを何をキャッチしますか?
実行時の動作: シェルの生成に使用される侵害された資格情報、コンテナが読み込むべきでないシークレット、Web 層から Kubernetes クラスターへのピボット。スキャナーは出荷されたものを検査し、ファルコは何が起こるかを監視します。
eBPF は必須ですか?
eBPF ドライバーは最新のデフォルトであり、カーネル モジュールのメンテナンスを回避します。古いカーネルにはレガシー カーネル モジュールが存在し、syscall ソース プラグインは Linux ホストを超えて Falco を拡張します。
デフォルトのルールはどれくらいノイズが多いですか?
特殊なツールを使用する不動産では、特にデプロイ中に騒音が発生します。アラートが自動的なバックグラウンド ノイズではなく動作可能なコールドになるまで、最初の数週間は実際のチューニング サイクル (名前空間ごとの例外ルール) がかかることが予想されます。
オープンソースのセキュリティ ツール に対するKinetikatechの支援
正直なところ、ほとんどのチームはまず自力で試してからご相談に来ます：テスト ツールボックスの専門家は、スキャナー、スニッファー、クラッカー、Web プロキシなど、実際の業務での使用方法、つまりコマンド、フラグ、出力、およびそれぞれが方法論のどこに位置するのかについて説明しました。 私たちのペネトレーションテストとLinuxサーバーセキュリティサービスは、オープンソースのセキュリティ ツールを苦い経験で学ぶ必要がないように存在します。セットアップ、監視、そして3時の驚きをすべてお任せください。