ファルコ
0.39.1
Falco は、Linux オペレーティング システム用のクラウド ネイティブ ランタイム セキュリティ ツールです。異常な動作や潜在的なセキュリティ脅威をリアルタイムで検出し、警告するように設計されています。
Falco の核心は、カスタム ルールに基づいて syscall などのイベントを監視するカーネル監視および検出エージェントです。 Falco は、コンテナー ランタイムと Kubernetes からのメタデータを統合することで、これらのイベントを強化できます。収集されたイベントは、SIEM またはデータ レイク システムでオフホストで分析できます。
Falco は、もともと Sysdig によって作成されたもので、Cloud Native Computing Foundation (CNCF) の下で段階的に作成されたプロジェクトであり、さまざまな組織による運用に使用されています。
Falco が検出できるサイバー脅威に関する詳細な技術情報と洞察については、Falco の公式 Web サイトをご覧ください。
プロジェクトの最新の更新と変更に関する包括的な情報については、変更ログを参照してください。さらに、Falco の新しいバージョンを配信するためのリリース プロセスを文書化しました。
これは、Falco バイナリを構築するためのソース コードを含むメインの Falco リポジトリです。このリポジトリは、そのライブラリと falco.yaml 設定ファイルを利用することで、Falco の機能の基盤を形成します。 Falco リポジトリは、次のコアリポジトリと密接に相互接続されています。
詳細については、Falco プロジェクトの公式ハブである falcosecurity/evolution をご覧ください。プロジェクトのリポジトリに関する貴重な洞察と情報を提供します。
公式ドキュメントを注意深く確認し、それに従ってください。
Falco 採用者向けの考慮事項とガイダンス:
依存関係を理解する: Falco を実行する環境を評価し、カーネルのバージョンとアーキテクチャを検討します。
脅威検出の目的を定義する: 検出したい脅威を明確に特定し、Falco の強みと限界を評価します。
パフォーマンスとコストを考慮する: コンピューティング パフォーマンスのオーバーヘッドを評価し、システム管理者または SRE と調整します。それに応じて予算を立てます。
ビルドとカスタマイズのアプローチを選択する: オープンソースの Falco ビルドを使用するか、カスタム ビルド パイプラインを作成するかを決定します。独自のテストやアプローチを組み込むなど、必要に応じて構築および展開のプロセスをカスタマイズして、迅速な展開サイクルで回復力のある展開を確保します。
出力先との統合: Falco を SIEM、データ レイク システム、またはその他の優先出力先と統合して、包括的なデータ分析のための堅牢な基盤を確立し、効果的なインシデント対応ワークフローを可能にします。
デモ環境は、falco、falcosidekick、falcosidekick-ui およびそれに必要な redis データベースを含む docker ホスト上で起動できる docker-compose ファイルを介して提供されます。詳細については、docker-compose セクションを参照してください。
貢献方法の詳細については、貢献ガイドと行動規範を参照してください。
Falco プロジェクトに参加するには、コミュニティ リポジトリにアクセスして、詳細情報と参加方法を見つけてください。
Falco または貢献についてご質問がある場合は、お気軽に問題を提出するか、Falco のメンテナーやコミュニティ メンバーに連絡して支援を求めてください。
どのように手を差し伸べるのか？
さまざまなセキュリティ監査の完全なレポートは、ここでご覧いただけます。
さらに、セキュリティ アドバイザリとポリシーの詳細な更新については、falco および libs のセキュリティ セクションを参照してください。
セキュリティの脆弱性を報告するには、ここにあるドキュメントに概要が記載されているコミュニティ プロセスに従ってください。
Falco ロードマップを探索することで、進化する Falco の機能に関する最新情報を入手してください。Falco ロードマップでは、現在開発中および将来のリリースで計画されている機能についての洞察が得られます。
Falco は、Apache 2.0 オープンソース ライセンスに基づいてライセンス供与されています。
Falco の Build Falco from source は、ソースから Falco をビルドする方法を理解するための頼りになるリソースです。さらに、falcosecurity/libs リポジトリは、Falco の基礎となるライブラリとカーネル ドライバーのテストとデバッグに関する追加の貴重な情報を提供します。
このリポジトリのすべての単体テストに必要なものをすべて有効にするcmakeコマンドの例を次に示します。
cmake
-DUSE_BUNDLED_DEPS=ON
-DBUILD_LIBSCAP_GVISOR=ON
-DBUILD_BPF=ON
-DBUILD_DRIVER=ON
-DBUILD_FALCO_MODERN_BPF=ON
-DCREATE_TEST_TARGETS=ON
-DBUILD_FALCO_UNIT_TESTS=ON .. ;単体テスト スイートを構築して実行します。
nproc= $( grep processor /proc/cpuinfo | tail -n 1 | awk ' {print $3} ' ) ;
make -j $(( $nproc - 1 )) falco_unit_tests ;
# Run the tests
sudo ./unit_tests/falco_unit_tests ;必要に応じて、選択したドライバーをビルドし、Falco バイナリをテスト実行して手動テストを実行します。
最後に、Falco プロジェクトは、Falco 回帰テストを falcosecurity/testing に移動しました。
