Odprtokodna varnostna orodja
Falco: Zaznavanje groženj med izvajanjem za vsebnike
Falco je CNCF izvajalno varnostno orodje, ki spremlja sistemske klice; pravila opisujejo vedenja, ki se nikoli ne bi smela zgoditi (lupina, ustvarjena v nginxu, nekdo, ki bere /etc/shadow, vsebnik, ki namešča gostiteljski datotečni sistem), in Falco opozori v trenutku, ko se to zgodi. Je protipostavka skeniranju slik: orodja razreda Trivy ujamejo znane ranljivosti pred uvedbo, Falco ujame nepravilno vedenje med delovanjem.
Ključne točke
- Vir podatkov so sistemski klici: modul jedra ali sodobni gonilnik eBPF dovaja tokove dogodkov, ki se pravila ujemajo s kontekstom procesa/vsebnika (slika, imenski prostor, uporabnik, argumenti sistemskega klica), vključno s polji, ki poznajo vsebnik, kot so metapodatki o uvajanju Kubernetes; ta leča na ravni sistemskega klica vidi, kaj zamudi zaznavanje na podlagi dnevnika.
- Privzeta pravila pokrivajo klasične ubežne razrede vsebnika: privilegirani zagoni vsebnika, branje občutljivih datotek, povratne lupine, nepričakovana omrežna orodja znotraj vsebnikov, pisanje pod namestitvijo in znano drstenje sorodnikov med izvajanjem vsebnika; privzeta nastavitev je začetna osnovna linija, namenjena prilagajanju za posamezno posestvo.
- Pravila so YAML in sistemski klici, ne podpisi: ni virov CVE za posodobitev; namesto tega politika vedenja, kot je 'spawned_process and proc.name in (binary shellkit)', izraža pričakovanja posestva; zgodba o uglaševanju je na ravni razreda (pisanje v branje binarnih datotek) in ne na podpis.
- Izhod temelji na vtičnikih: stdout, syslog, Slack, webhook za orkestrator in ključne sodobne integracije (samodejni odziv razreda Falco Talon); večina nepremičnin usmerja opozorila na isti SIEM kot Wazuh (naš namenski članek), tako da so opozorila med izvajanjem in končne točke povezana.
- Oblika uvedbe se ujema s posestvom: daemonset na Kubernetesu (gonilnik eBPF v sodobnih jedrih), ki temelji na gostitelju za samostojne gostitelje Docker; odtis virov je skromen, vendar se zatrese pri jedrih razreda vozlišč 10G, kar je pomembno, ker so sonde eBPF tesno povezane z različicami jedra in distribucijami.
- Iskreno pozicioniranje v našem naboru varnostnih orodij: Falco zazna nepravilno ravnanje, ne prepreči ga; združite ga s skeniranjem slik (Trivy), pravilniki o sprejemu (orodje za varnostni kontekst/orkestracijo Kubernetes) in omrežnimi kontrolami; vdor, ujet ob 3. uri zjutraj, je vreden več kot poročilo o skeniranju, ki ga nihče ni prebral.
Terenska beležka
Prvi Falcoov ulov pri gruči odjemalcev: slika za odpravljanje napak, ki je bila priložena lupini in jo je nekdo uporabil v proizvodnji iz navade. Brez CVE, brez zadetka skenerja, čisto vedenje. Pravilo, ki se je sprožilo, je bilo privzeto, ki smo ga nameravali prilagoditi. Privzete vrednosti včasih glasno zaslužijo.
Pogosta vprašanja
Falco proti komercialnemu izdelku CNDR?
Falco pokriva jedro zaznavanja sistemskih klicev kot odprto kodo s formatom pravil, ki je v lasti skupnosti; komercialna orodja dodajajo uporabniški vmesnik, modele anomalij ML in poteke dela z upravljanimi odzivi, veliko posestev pa uporablja Falco poleg sistemskega klica.
Kaj Falco ujame, kar skenerji zgrešijo?
Vedenje med izvajanjem: ogrožena poverilnica, ki se uporablja za ustvarjanje lupine, vsebnik, ki bere skrivnosti, ki jih ne bi smel, vrtenje iz spletne ravni v gručo Kubernetes; skenerji pregledujejo, kaj je poslano, Falco opazuje, kaj se dogaja.
Ali je eBPF obvezen?
Gonilnik eBPF je sodobna privzeta vrednost in se izogiba vzdrževanju modula jedra; podedovan modul jedra obstaja za starejša jedra, izvorni vtičnik syscall pa razširja Falco onkraj gostiteljev Linuxa.
Kako hrupna so privzeta pravila?
Hrupno na posestvih z neobičajnim orodjem, zlasti med uvedbami; pričakujte pravi cikel uglaševanja (pravila za izjeme na imenski prostor) v prvih tednih, preden postanejo opozorila operativno hladna in ne samodejni hrup v ozadju.
Kako Kinetikatech pomaga s odprtokodna varnostna orodja
To je, kar vsak dan storimo: Strokovnjaki z orodjem za preskušanje dejansko še naprej nalagajo: skenerji, snifferji, krekerji in spletni posredniki so razložili, kako se uporabljajo pri resničnih dogodkih – ukazi, zastavice, izhodi in mesto vsakega v metodologiji. Naša storitev Teste prodiranja in Varnost strežnikov Linux pokrije vse, od evaluacije do implementacije, monitoringu 24/7 in hitne intervencije v 30 minutah.