kubernetes--监控容器运行时:Falco

目录

Falco介绍

Falco架构

 Falco的安装

告警规则示列

威胁场景测试:

监控容器创建的不可信任进程(自定义规则)

 Falco支持五种输出告警方式falco.yaml:

Falco告警集中化展示:


Falco介绍

Falco是一个Linux安全工具,它使用系统调用来保护和监控系统。

       Falco最初是由Sysdig开发的,后来加入CNCF孵化器,成为首个加入CNCF的运行时安全项目。

       Falco提供了一组默认规则,可以监控内核态的异常行为,例如

  1. 对于系统目录/etc、/usr/bin、/usr/sbin的读写行为
  2. 文件所有权、访问权限的变更
  3. 从容器打开shell会话
  4. 容器生成新进程
  5. 特权容器启动

项目地址: https://github.com/falcosecurity/falco

Falco架构

rule engine:角色引擎,需要配置文件

通过内核中的模块检测系统调用,满足则输出到目标或者设备,手机和存储。支持对k8s审计日志的收集。

 Falco的安装

【】rpm --import https://falco.org/repo/falcosecurity-3672BA8F.asc

【】curl -s -o /etc/yum.repos.d/falcosecurity.repo https://falco.org/repo/falcosecurity-rpm.repo

【】yum install epel-release -y

#【】yum update  #更新系统,不更新系统会起不来。falco是一个守护进程

【】yum install falco -y

【】systemctl start falco

【】systemctl enable falco

【】lsmod|grep falco

报此错可以考虑升级内核3.10.0-1160.el7.x86_64

falco配置文件目录:/etc/falco

  1. falco.yaml   falco配置于输出告警通知方式
  2. falco_rules.yaml  规则文件,默认已经定义很多威胁场景
  3. falco_rules.loacl.yaml   自定义扩展规则文件
  4. k8s_audit_rules.yaml  K8s审计日志规则

安装文档:https://falco.org/zh/docs/installation

告警规则示列

(falco_rules.local.yaml):

- rule: The program "sudo" is run in a container
  desc: An event will trigger every time you run sudo in a container
  condition: evt.type = execve and evt.dir=< and container.id != host and proc.name = sudo
  output: "Sudo run in container (user=%user.name %container.info parent=%proc.pname 
cmdline=%proc.cmdline)"
  priority: ERROR
  tags: [users, container]

参数说明:

  1. rule:规则名称,唯一
  2. desc:规则的描述
  3. condition:条件表达式
  4. output:符合条件事件的输出格式
  5. priority:告警的优先级
  6. tags:本条规则的tags分类

威胁场景测试:

       falco_rules.yaml(默认规则),里面的写法和标准写法不太一样,好多是类似于变量的重复引用所以可以简写

1、监控系统二进制文件目录读写(默认规则) $PATH目录

2、监控根目录或者/root目录写入文件(默认规则)

3、监控运行交互式Shell的容器(默认规则)进入容器会被监控

4、监控容器创建的不可信任进程(自定义规则)

验证:tail -f /var/log/message

监控容器创建的不可信任进程(自定义规则)

监控容器创建的不可信任进程规则,在falco_rules.local.yaml文件添加:以nginx为例

- rule: Unauthorized process on nginx containers
  condition: spawned_process and container and container.image 
startswith nginx and not proc.name in (nginx)
#运行新镜像,必须是容器,并且容器镜像开头是nginx 并设置白名单
  desc: test
  output: "Unauthorized process on nginx containers (user=%user.name container_name=%container.name container_id=%container.id image=%container.image.repository shell=%proc.name parent=%proc.pname cmdline=%proc.cmdline terminal=%proc.tty)"
  priority: WARNING

condition表达式解读:

• spawned_process 运行新进程

• container 容器

• container.image startswith nginx 以nginx开头的容器镜像

• not proc.name in (nginx) 不属于nginx的进程名称(允许进程名称列表)

重启falco应用新配置文件:

systemctl restart falco

测试

 

 Falco支持五种输出告警方式falco.yaml:

  1. 输出到标准输出(默认启用)
  2. 输出到文件
  3. 输出到Syslog(默认启用)
  4. 输出到HTTP服务
  5. 输出到其他程序(命令行管道方式)

告警配置文件:/etc/falco/falco.yaml

例如输出到指定文件:将上面的json_output: false改为true  json方便后面的分析

file_output:
  enabled: true
  keep_alive: false#改为true是持续写入保持打开状态,false是有事件再打开写入	 
  filename: /var/log/falco_events.log

 上下两个也可以关了,没必要重复收集影响性能

Falco告警集中化展示:

 

  1. FalcoSideKick:一个集中收集并指定输出,支持大量方式输出,例如influxdb、Elasticsearch等

       项目地址:https://github.com/falcosecurity/falcosidekick

  1. FalcoSideKick-UI:告警通知集中图形展示系统

       项目地址 https://github.com/falcosecurity/falcosidekick-ui

部署Falco UI:

#输出给ui  falcosidekick收集数据,ui的容器端口为2802  数据接口是2801
docker run -d \
-p 2801:2801 \
--name falcosidekick \
-e WEBUI_URL=http://11.0.1.21:2802 \
falcosecurity/falcosidekick

 【】docker run -d -p 6379:6379 redislabs/redisearch:2.2.4


docker run -d \
-p 2802:2802 \
-e FALCOSIDEKICK_UI_REDIS_URL=11.0.1.21:6379 \
--name falcosidekick-ui \
falcosecurity/falcosidekick-ui

修改falco配置文件指定http方式输出:

json_output: true
json_include_output_property: true
http_output:
  enabled: true
  url: "http://192.168.31.71:2801/"

UI访问地址:http://192.168.31.71:2802/ui/

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Falco是一个开源的云原生安全项目,用于监控容器、主机和 Kubernetes 等环境下的安全事件。它通过将系统调用事件与规则匹配,来检测并报告潜在的安全问题。 关于监控文件读写规则的编写,可以参考以下步骤: 1. 确定规则类型:Falco支持多种规则类型,包括文件规则、网络规则、进程规则等。因此,你需要确定你要编写的规则属于哪种类型。 2. 确定监控对象:确定你要监控的文件路径和名称。可以指定具体的文件路径和名称,也可以使用通配符来监控一类文件。 3. 编写规则:Falco的规则语言是基于Sysdig的命令行工具编写的,语法类似于C语言。以下是一个简单的监控文件读写的规则示例: ``` - rule: File read or write desc: Detects file reads and writes condition: > evt.type=open and fd.name contains /path/to/file and (evt.type=read or evt.type=write) output: > File read or write by container (user=%user.name command=%proc.cmdline file=%fd.name) priority: WARNING ``` 该规则将监控文件路径为 /path/to/file 的文件读写事件,并在检测到事件时输出警告信息。 4. 测试规则:可以使用Falco提供的测试工具来测试规则的有效性和正确性。测试工具可以模拟系统调用事件,并检查规则是否匹配。 以上是简单的规则示例,具体规则的编写需要根据实际需求进行调整。同时需要注意,Falco的规则需要在系统中运行Falco服务才能生效。

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值