当前位置：首页 > news >正文

Falco 容器安全监控实践：实时威胁检测

news 2026/5/22 9:34:20

Falco 容器安全监控实践：实时威胁检测

引言

在云原生环境中，容器安全是一个关键问题。Falco 是一个开源的运行时安全工具，可以实时检测容器内的异常行为和威胁。本文将深入探讨 Falco 的安装、配置和最佳实践，帮助你构建强大的容器安全监控体系。

Falco 基础概念

什么是 Falco

Falco 是一个云原生运行时安全工具，由 Sysdig 开发并开源：

实时监控：实时检测容器和主机上的系统调用
规则引擎：基于规则检测异常行为
告警通知：支持多种告警渠道
Kubernetes 集成：深度集成 Kubernetes 环境

Falco 架构

┌─────────────────────────────────────────────────────────────────┐ │ Kubernetes Cluster │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ Falco Components │ │ │ │ ┌─────────────┐ ┌─────────────┐ ┌─────────────┐ │ │ │ │ │ Falco │ │ Falco │ │ Falco │ │ │ │ │ │ Daemon │ │ Sidecar │ │ Rules │ │ │ │ │ └─────────────┘ └─────────────┘ └─────────────┘ │ │ │ └──────────────────────────┬─────────────────────────────┘ │ │ │ │ │ ▼ │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ Alert Outputs │ │ │ │ - Slack, Email, Webhook, Prometheus, Loki │ │ │ └──────────────────────────────────────────────────────────┘ │ └───────────────────────────────────────────────────────────────┘

Falco 安装

使用 Helm 安装

# 添加 Falco Helm 仓库 helm repo add falcosecurity https://falcosecurity.github.io/charts helm repo update # 创建命名空间 kubectl create namespace falco # 安装 Falco helm install falco falcosecurity/falco -n falco

验证安装

# 检查 Pod 状态 kubectl get pods -n falco # 查看 Falco 日志 kubectl logs -n falco falco-xxx # 检查规则配置 kubectl get configmap falco-rules -n falco -o yaml

安装 Falco CLI

# 下载 Falco CLI curl -L https://github.com/falcosecurity/falco/releases/download/v0.35.0/falco_0.35.0_darwin_amd64.tar.gz | tar -xzf - sudo cp falco /usr/local/bin/ # 验证安装 falco --version

Falco 规则配置

内置规则

# 默认规则文件 rules: - rule: shell_in_container desc: A shell was spawned in a container with an attached terminal condition: evt.type = execve and evt.dir = < and container.id != host and proc.name = bash output: "Shell spawned in container (user=%user.name container=%container.name shell=%proc.name)" priority: CRITICAL tags: [container, shell]

自定义规则

- rule: suspicious_file_access desc: Access to sensitive files condition: > evt.type = open and evt.dir = < and (fd.name contains "/etc/passwd" or fd.name contains "/etc/shadow" or fd.name contains "/root/.ssh/") output: "Suspicious file access detected (user=%user.name file=%fd.name)" priority: HIGH tags: [filesystem, security]

规则优先级

优先级	说明	颜色
EMERGENCY	系统不可用	Red
ALERT	必须立即采取行动	Orange
CRITICAL	严重情况	Red
ERROR	错误条件	Red
WARNING	警告条件	Yellow
NOTICE	正常但重要的条件	Blue
INFO	信息性消息	Green
DEBUG	调试级别消息	Gray

Falco 告警配置

标准输出

apiVersion: v1 kind: ConfigMap metadata: name: falco-config namespace: falco data: falco.yaml: | outputs: - name: stdout type: stdout enabled: true

Webhook 输出

apiVersion: v1 kind: ConfigMap metadata: name: falco-config namespace: falco data: falco.yaml: | outputs: - name: webhook type: webhook enabled: true webhook: url: "https://api.example.com/webhook" headers: Authorization: "Bearer <token>"

Slack 输出

apiVersion: v1 kind: Secret metadata: name: falco-slack namespace: falco type: Opaque data: webhook_url: <base64-encoded-slack-webhook-url>

apiVersion: v1 kind: ConfigMap metadata: name: falco-config namespace: falco data: falco.yaml: | outputs: - name: slack type: webhook enabled: true webhook: url: "https://hooks.slack.com/services/XXX/XXX/XXX"

Falco Kubernetes 集成

Falco Sidecar 模式

apiVersion: apps/v1 kind: Deployment metadata: name: my-app spec: template: spec: containers: - name: my-app image: my-app:latest - name: falco-sidecar image: falcosecurity/falco:latest securityContext: privileged: true

Falco Event Generator

apiVersion: apps/v1 kind: Deployment metadata: name: falco-event-generator namespace: falco spec: replicas: 1 selector: matchLabels: app: falco-event-generator template: metadata: labels: app: falco-event-generator spec: containers: - name: event-generator image: falcosecurity/event-generator:latest command: ["event-generator", "run", "--loop"]

Falco 最佳实践

规则管理

# rules/custom-rules.yaml - rule: kubernetes_api_access desc: Access to Kubernetes API server condition: > evt.type = connect and fd.sip = 10.96.0.1 and fd.sport = 443 output: "Kubernetes API access detected (user=%user.name pid=%proc.pid)" priority: NOTICE tags: [kubernetes, api]

性能优化

apiVersion: v1 kind: ConfigMap metadata: name: falco-config namespace: falco data: falco.yaml: | falco: buffered_outputs: enabled: true buffer_size: 8192 syscall_buffer_size: 8388608

资源限制

apiVersion: v1 kind: LimitRange metadata: name: falco-limits namespace: falco spec: limits: - type: Container max: cpu: "2" memory: "2Gi" min: cpu: "500m" memory: "512Mi"

常见问题与解决方案

问题 1：告警过多

排查步骤：

# 查看 Falco 日志 kubectl logs -n falco falco-xxx # 检查规则配置 kubectl get configmap falco-rules -n falco -o yaml

解决方案：

调整规则优先级
添加条件过滤
使用抑制规则

问题 2：性能影响

排查步骤：

# 检查 Falco 资源使用 kubectl top pods -n falco # 查看系统调用统计 falco --stats

解决方案：

增加资源限制
优化规则条件
使用缓冲输出

问题 3：规则不生效

排查步骤：

# 验证规则语法 falco -c /etc/falco/falco.yaml -r /etc/falco/rules.d/custom-rules.yaml --validate # 查看规则加载状态 kubectl logs -n falco falco-xxx | grep "Loading rules"

解决方案：