Запуск с ограниченным окном захвата falco
Запускает Falco на 60 секунд и завершается; удобно для разовой диагностики подозрительного узла
falco -M 60 -o json_output=true 2>/dev/null | jq -c '{rule,output_fields}'
more falco
all 6 commands →
Список поддерживаемых полей событий
falco --list | grep -E 'k8s\.|container\.|proc\.' | sort
Своё правило: запуск shell в контейнере
cat > /etc/falco/rules.d/shell.yaml <<'EOF'
- rule: Shell in container
desc: A shell was spawned in a container
condition: container and proc.name in (bash, sh, zsh)
output: "Shell spawned (pod=%k8s.pod.name cmd=%proc.cmdline)"
priority: WARNING
EOF
Проверка файла правил перед перезагрузкой
falco -r /etc/falco/falco_rules.yaml --validate
Фильтрация критичных алертов из логов
kubectl logs -l app.kubernetes.io/name=falco -n falco | jq 'select(.priority=="Critical")'
Установка правил из реестра артефактов
falcoctl artifact install falco-rules:latest && falcoctl artifact list