เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส
Falco: การตรวจจับภัยคุกคามรันไทม์สำหรับคอนเทนเนอร์
Falco เป็นเครื่องมือรักษาความปลอดภัยรันไทม์ CNCF ที่คอยเฝ้าดูการโทรของระบบ กฎอธิบายถึงพฤติกรรมที่ไม่ควรเกิดขึ้น (เชลล์ที่สร้างใน nginx มีคนอ่าน /etc/shadow คอนเทนเนอร์ที่ติดตั้งระบบไฟล์โฮสต์) และ Falco จะแจ้งเตือนทันทีที่พวกเขาเกิดขึ้น ซึ่งเทียบเท่ากับการสแกนภาพ: เครื่องมือ Trivy-class จะตรวจจับช่องโหว่ที่ทราบก่อนนำไปใช้งาน Falco จะตรวจจับพฤติกรรมที่ไม่เหมาะสมขณะทำงาน
ประเด็นสำคัญ
- แหล่งข้อมูลคือ syscalls: เคอร์เนลโมดูลหรือไดรเวอร์ eBPF สมัยใหม่ฟีดสตรีมเหตุการณ์ที่กฎตรงกับบริบทของกระบวนการ/คอนเทนเนอร์ (รูปภาพ เนมสเปซ ผู้ใช้ args syscall) รวมถึงฟิลด์ที่รับรู้คอนเทนเนอร์ เช่น ข้อมูลเมตาการปรับใช้ Kubernetes เลนส์ระดับซิสคอลนี้จะมองเห็นสิ่งที่การตรวจจับตามบันทึกพลาดไป
- กฎเริ่มต้นครอบคลุมคลาส Escape ของคอนเทนเนอร์แบบคลาสสิก: การเริ่มคอนเทนเนอร์ที่ได้รับสิทธิพิเศษ การอ่านไฟล์ที่ละเอียดอ่อน การย้อนกลับเชลล์ เครื่องมือเครือข่ายที่ไม่คาดคิดภายในคอนเทนเนอร์ เขียนด้านล่างการเมาท์ และการวางไข่แบบพี่น้องระหว่างรันไทม์คอนเทนเนอร์ที่รู้จัก ชุดเริ่มต้นคือเส้นพื้นฐานเริ่มต้นที่มีการปรับแต่งตามคุณสมบัติ
- กฎคือ YAML และการเรียกของระบบ ไม่ใช่ลายเซ็น: ไม่มีฟีด CVE ที่จะอัปเดต นโยบายพฤติกรรมเช่น 'spawned_process และ proc.name in (shellkit binaries)' แทนเป็นการแสดงออกถึงความคาดหวังของอสังหาริมทรัพย์ เรื่องราวการปรับแต่งนั้นเป็นระดับคลาส (เขียน v อ่านไบนารี) แทนที่จะเป็นตามลายเซ็น
- เอาต์พุตเป็นแบบปลั๊กอิน: stdout, syslog, Slack, webhook ไปยัง orchestrator และการรวมระบบสมัยใหม่ที่สำคัญ (การตอบสนองอัตโนมัติระดับ Falco Talon) อสังหาริมทรัพย์ส่วนใหญ่ชี้การแจ้งเตือนที่ SIEM เดียวกันกับ Wazuh (บทความเฉพาะของเรา) ดังนั้นการแจ้งเตือนรันไทม์และปลายทางจึงมีความสัมพันธ์กัน
- รูปแบบการปรับใช้ตรงกับคุณสมบัติ: daemonset บน Kubernetes (ไดรเวอร์ eBPF บนเคอร์เนลสมัยใหม่) ที่ใช้โฮสต์สำหรับโฮสต์ Docker แบบสแตนด์อโลน รอยเท้าทรัพยากรนั้นค่อนข้างเรียบง่าย แต่สั่นไหวบนเคอร์เนลคลาสโหนด 10G ซึ่งมีความสำคัญเนื่องจากโพรบ eBPF เชื่อมโยงกับเวอร์ชันเคอร์เนลและ distros อย่างใกล้ชิด
- ตำแหน่งที่ซื่อสัตย์ในชุดเครื่องมือรักษาความปลอดภัยของเรา: Falco ตรวจพบการประพฤติมิชอบ แต่ไม่ได้ป้องกัน จับคู่กับการสแกนรูปภาพ (Trivy) นโยบายการรับเข้า (เครื่องมือบริบท/การจัดระเบียบความปลอดภัยของ Kubernetes) และการควบคุมเครือข่าย การละเมิดที่เกิดขึ้นตอนตี 3 มีค่ามากกว่ารายงานการสแกนที่ไม่มีใครอ่าน
บันทึกจากหน้างาน
สิ่งแรกที่ Falco จับได้บนคลัสเตอร์ไคลเอนต์: อิมเมจการดีบั๊กที่มาพร้อมกับเชลล์ และมีคนใช้มันในการผลิตจนเป็นนิสัย ไม่มี CVE ไม่มีเครื่องสแกนโดน พฤติกรรมล้วนๆ กฎที่เริ่มทำงานนั้นเป็นค่าเริ่มต้นที่เราตั้งใจจะปรับแต่ง ค่าเริ่มต้นบางครั้งก็ได้รับเสียงดัง
คำถามที่พบบ่อย
Falco กับผลิตภัณฑ์ CNDR เชิงพาณิชย์?
Falco ครอบคลุมแกนการตรวจจับ syscall ให้เป็นโอเพ่นซอร์สพร้อมรูปแบบกฎที่ชุมชนเป็นเจ้าของ เครื่องมือเชิงพาณิชย์เพิ่ม UI, โมเดลความผิดปกติ ML และเวิร์กโฟลว์การตอบกลับที่ได้รับการจัดการ และคุณสมบัติหลายแห่งเรียกใช้ Falco ควบคู่ไปกับเลเยอร์ syscall
ฟัลโกจับได้ว่าสแกนเนอร์พลาดอะไร?
พฤติกรรมรันไทม์: ข้อมูลประจำตัวที่ถูกบุกรุกซึ่งใช้ในการวางเชลล์, คอนเทนเนอร์ที่อ่านความลับที่ไม่ควร, การเปลี่ยนทิศทางจากระดับเว็บไปยังคลัสเตอร์ Kubernetes เครื่องสแกนจะตรวจสอบสิ่งที่ส่งมา ส่วน Falco เฝ้าดูสิ่งที่เกิดขึ้น
eBPF จำเป็นหรือไม่?
ไดรเวอร์ eBPF เป็นค่าเริ่มต้นที่ทันสมัย และหลีกเลี่ยงการบำรุงรักษาโมดูลเคอร์เนล มีโมดูลเคอร์เนลแบบเดิมสำหรับเคอร์เนลรุ่นเก่า และปลั๊กอินต้นทาง syscall ขยาย Falco เกินกว่าโฮสต์ Linux
กฎเริ่มต้นมีเสียงดังแค่ไหน?
มีเสียงดังในพื้นที่ที่มีเครื่องมือที่ผิดปกติ โดยเฉพาะอย่างยิ่งระหว่างการใช้งาน คาดว่าจะมีรอบการปรับแต่งจริง (กฎข้อยกเว้นต่อเนมสเปซ) ในช่วงสัปดาห์แรกๆ ก่อนที่การแจ้งเตือนจะเย็นลง แทนที่จะเป็นเสียงรบกวนอัตโนมัติ
Kinetikatech ช่วยเรื่อง เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส ได้อย่างไร
นี่คือสิ่งที่เราทำทุกวัน: ผู้เชี่ยวชาญด้านกล่องเครื่องมือทดสอบมักโหลดอยู่เสมอ: เครื่องสแกน เครื่องดมกลิ่น แครกเกอร์ และเว็บพรอกซี อธิบายวิธีการใช้งานเครื่องมือเหล่านี้ในภารกิจจริง เช่น คำสั่ง แฟล็ก เอาท์พุต และตำแหน่งที่แต่ละเครื่องมืออยู่ในระเบียบวิธี บริการ การทดสอบการเจาะระบบและความปลอดภัยเซิร์ฟเวอร์ Linux ของเราดูแลครบวงจร ตั้งแต่ประเมิน ลงมือทำ ติดตาม 24 ชั่วโมง ไปจนถึงรับเรื่องฉุกเฉินภายใน 30 นาที