falco

Проверка файла правил перед перезагрузкой Офлайн-проверка синтаксиса правил перед применением; note: ненулевой код выхода при ошибке, удобно для CI-гейта falco -r /etc/falco/falco_rules.yaml --validate #falco#security#ci#k8s Фильтрация критичных алертов из логов Выбирает из JSON-вывода только события Falco уровня Critical; требует json_output: true в falco.yaml kubectl logs -l app.kubernetes.io/name=falco -n falco | jq 'select(.priority=="Critical")' #falco#security#observability#k8s Установка правил из реестра артефактов Загрузка и управление версионированными правилами/плагинами через OCI; modern: заменяет ручное копирование файлов правил falcoctl artifact install falco-rules:latest && falcoctl artifact list #falco#security#gitops#k8s Запуск с ограниченным окном захвата Запускает Falco на 60 секунд и завершается; удобно для разовой диагностики подозрительного узла falco -M 60 -o json_output=true 2>/dev/null | jq -c '{rule,output_fields}' #falco#security#troubleshooting#debug Список поддерживаемых полей событий Показывает доступные поля фильтрации для написания условий и вывода в своих правилах falco --list | grep -E 'k8s\.|container\.|proc\.' | sort #falco#security#debug Своё правило: запуск shell в контейнере Минимальное своё правило с condition/output/priority; подхватывается из каталога rules.d cat > /etc/falco/rules.d/shell.yaml <<'EOF' - rule: Shell in container desc: A shell was spawned in a container condition: container and proc.name in (bash, sh, zsh) output: "Shell spawned (pod=%k8s.pod.name cmd=%proc.cmdline)" priority: WARNING EOF #falco#security#k8s