什么是 Falco¶
Falco 是一个云原生运行时安全工具，旨在检测应用程序中的异常活动，可用于监控 Kubernetes 应用程序和内部组件的运行时安全性。仅需为 Falco 撰写一套规则，即可持续监测并监控容器、应用、主机及网络的异常活动。
Falco 能检测到什么？¶
Falco 可对任何涉及 Linux 系统调用的行为进行检测和报警。Falco 的警报可以通过使用特定的系统调用、参数以及调用进程的属性来触发。例如，Falco 可以轻松检测到包括但不限于以下事件：
- Kubernetes 中的容器或 pod 内正在运行一个 shell 。
- 容器以特权模式运行，或从主机挂载敏感路径，如 /proc。
- 一个服务器进程正在生成一个意外类型的子进程。
- 意外读取一个敏感文件，如 /etc/shadow。
- 一个非设备文件被写到 /dev。
- 一个标准的系统二进制文件，如 ls，正在进行一个外向的网络连接。
- 在 Kubernetes 集群中启动一个有特权的 pod。
关于 Falco 附带的更多默认规则，请参考 Rules 文档。
什么是 Falco 规则？¶
Falco 规则定义 Falco 应监视的行为及事件；可以在 Falco 规则文件或通用配置文件撰写规则。有关编写、管理和部署规则的更多信息，请参阅 Falco Rules。
什么是 Falco 警报？¶
警报是可配置的下游操作，可以像记录日志一样简单，也可以像 STDOUT 向客户端传递 gRPC 调用一样复杂。有关配置、理解和开发警报的更多信息，请参阅Falco 警报。Falco 可以将警报发送至：
- 标准输出
- 一份文件
- 系统日志
- 生成的程序
- 一个 HTTP[s] 端点
- 通过 gRPC API 的客户端
Falco 由哪些部分组成？¶
Falco 由以下几个主要组件组成：
-
用户空间程序：CLI 工具，可用于与 Falco 交互。用户空间程序处理信号，解析来自 Falco 驱动的信息，并发送警报。
-
配置：定义 Falco 的运行方式、要断言的规则以及如何执行警报。有关详细信息，请参阅配置。
-
Driver：一款遵循 Falco 驱动规范并发送系统调用信息流的软件。如果不安装驱动程序，将无法运行 Falco。目前，Falco 支持以下驱动程序：
- 基于 C++ 库构建 libscap 的内核模块 libsinsp（默认）
- 由相同模块构建的 BPF 探针
- 用户空间检测
有关详细信息，请参阅 Falco 驱动程序。
-
插件：可用于扩展 falco libraries/falco 可执行文件的功能，扩展方式是通过添加新的事件源和从事件中提取信息的新字段。有关详细信息，请参阅插件。