Falco

Falcoは、Linuxオペレーティングシステム向けのクラウドネイティブなランタイムセキュリティツールです。異常な動作や潜在的なセキュリティ脅威をリアルタイムで検出し、警告するように設計されています。

Falcoはその中核として、カスタムルールに基づいてシステムコールなどのイベントを監視するカーネル監視・検出エージェントです。Falcoは、コンテナランタイムとKubernetesからのメタデータを統合することで、これらのイベントを強化できます。収集されたイベントは、ホスト外のSIEMやデータレイクシステムで分析できます。

Falcoは、もともとSysdigによって開発され、Cloud Native Computing Foundation（CNCF）の卒業（graduated）プロジェクトであり、さまざまな組織で本番運用されています。

Falcoが検出できるサイバー脅威に関する詳細な技術情報と洞察については、公式Falcoウェブサイトをご覧ください。

プロジェクトの最新の更新と変更に関する包括的な情報については、Change Logを参照してください。

The Falco Project

The Falco Projectのコードベースは、falcosecurity GitHub organizationの下で管理されています。主要リポジトリであるfalcosecurity/falcoにはFalcoバイナリのソースコードが格納されており、その他のサブプロジェクトは専用リポジトリでホストされています。コンポーネントを専門のリポジトリに分離するこのアプローチにより、モジュール性と開発の集中が向上します。注目すべきコアリポジトリには以下が含まれます：

falcosecurity/libs：このリポジトリはFalcoのコアライブラリをホストしており、バイナリのソースコードの大部分を構成し、カーネルドライバなどの必須機能を提供します。
falcosecurity/rules：Falcoの公式ルールセットが含まれており、さまざまなセキュリティ脅威や異常な動作に対する定義済みの検出ルールを提供します。
falcosecurity/plugins：このリポジトリは、システムコールやコンテナイベントを超えてFalcoの機能を拡張するプラグインを通じて、外部サービスとの統合をサポートします。将来のリリースでは、専門化された機能の進化が計画されています。
falcosecurity/falcoctl：Falcoの管理と操作のために設計されたコマンドラインユーティリティです。
falcosecurity/charts：このリポジトリは、FalcoとそのエコシステムをデプロイするためのHelmチャートを公開しています。Falcoチャートのソースはchart/falcoにあります。

リポジトリの詳細やガバナンスモデルに関する追加情報については、The Falco Projectの公式ハブであるfalcosecurity/evolutionをご覧ください。

Falcoを始める

Falcoが初めての場合は、Getting Startedガイドから始めてください。本番環境へのデプロイについては、包括的なSetupドキュメントを参照してください。

Falcoをデプロイする前の最終的な推奨事項として、環境の互換性を確認し、検出目標を定義し、パフォーマンスを最適化し、適切なビルドを選択し、効果的なインシデント対応を確保するためにSIEMまたはデータレイク統合を計画してください。

デモ環境

デモ環境はdocker-composeファイルで提供されており、falco、falcosidekick、falcosidekick-ui、および必須のredisデータベースを含むdockerホスト上で起動できます。詳細については、docker-composeセクションを参照してください。

コミュニティに参加する

Falco Projectに参加するには、Communityリポジトリにアクセスして、詳細情報と参加方法を確認してください。

Falcoやコントリビューションについて質問がある場合は、遠慮なくissueを登録するか、Falcoのメンテナやコミュニティメンバーに連絡してサポートを受けてください。

連絡方法は？

Kubernetes Slackの#falcoチャンネルに参加する。
Falcoメーリングリストに参加する。
issueを登録するか、機能リクエストを行う。

Falco自身のセキュリティへの取り組み

各種セキュリティ監査の完全なレポートはこちらにあります。

さらに、セキュリティアドバイザリとポリシーに関する詳細な更新については、falcoとlibsのセキュリティセクションを参照できます。

セキュリティの脆弱性を報告するには、こちらのドキュメントに記載されているコミュニティプロセスに従ってください。

ビルド

ソースからFalcoをビルドするための包括的なステップバイステップの手順については、公式ドキュメントを参照してください。

テスト

テスト手順を展開

FalcoのBuild Falco from sourceは、ソースからFalcoをビルドする方法を理解するための主要なリソースです。さらに、falcosecurity/libsリポジトリには、Falcoの基盤となるライブラリとカーネルドライバのテストとデバッグに関する追加の有益な情報があります。

このリポジトリのすべての単体テストに必要なものを有効にするcmakeコマンドの例を次に示します：

cmake \
-DUSE_BUNDLED_DEPS=ON \
-DBUILD_DRIVER=ON \
-DBUILD_FALCO_MODERN_BPF=ON \
-DCREATE_TEST_TARGETS=ON \
-DBUILD_FALCO_UNIT_TESTS=ON ..;

単体テストスイートをビルドして実行します：

nproc=$(grep processor /proc/cpuinfo | tail -n 1 | awk '{print $3}');
make -j$(($nproc-1)) falco_unit_tests;
# Run the tests
sudo ./unit_tests/falco_unit_tests;

必要に応じて、任意のドライバをビルドし、Falcoバイナリをテスト実行して手動テストを実行できます。

最後に、The Falco ProjectはFalcoの回帰テストをfalcosecurity/testingに移行しました。

コントリビューション方法

コントリビューション方法の詳細については、ContributingガイドとCode of Conductを参照してください。

FAQ

FalcoはなぜGoや{language}ではなくC++なのですか？

情報を展開

Falcoの基礎となる最初のコードはかなり前に書かれたもので、当時Goは現在ほど成熟しておらず、採用も進んでいませんでした。
Falcoの実行モデルは、ツールのステートフル性の要件により逐次的かつモノスレッドです。そのため、Goランタイムの並行性に関する利点のほとんどはまったく活用されないでしょう。
Falcoのコードは多くの箇所で非常に低レベルのプログラミングを扱います。GoとCのインターフェースは可能ですが、多くの複雑さとトレードオフをもたらすことは周知のとおりです。
毎秒あたりの非常に高いイベントスループットを消費することを意図したセキュリティツールとして、Falcoは実行時にすべてのホットパスでパフォーマンスを最大限に引き出す必要があり、メモリ割り当ての深い制御を要求します。これはGoランタイムでは提供できません（ガベージコレクションも関与します）。
GoはFalcoのコアのエンジニアリング要件には適合しませんでしたが、それでもプラグインシステムを通じてFalcoの拡張機能を記述するための良い候補になり得ると考えていました。これが、plugin-sdk-goの開発に特別な注意と高い優先度を注いだ主な理由です。
静的リンクのバイナリを作成するためにGoは必須ではありません。実際、数年前から完全に静的なFalcoビルドを提供しています。それらの唯一の問題は、現在の動的ライブラリモデルではプラグインシステムをサポートできないことです。
プラグインシステムは複数の言語をサポートするように構想されているため、私たちの側ではC互換のコードベースを維持することが、最大のクロス言語互換性を確保するための最良の戦略です。
一般に、プラグインには動的ロードに必要な低レベルのCバインディングがあるため、GLIBCの要件/依存関係があります。将来の潜在的な解決策として、コンパイル時にプラグインが静的リンクされ、Falcoバイナリにバンドルされてリリースされることも考えられます。この方向の作業はまだ始まっていませんが、これは報告されたほとんどの問題を解決し、完全に静的なバイナリも提供するでしょう。もちろん、これは動的ロードとは互換性がなくなりますが、Falcoの静的ビルド版には実行可能な解決策かもしれません。
メモリ安全性は間違いなく懸念事項であり、C++はかなりエラーが発生しやすいですが、私たちは高い品質レベルを維持するよう最善を尽くしています。たとえば、可能な限りスマートポインタを使用し、CIでアドレスサニタイザーを使用してライブラリをビルドし、各リリース前にValgrindでFalcoを実行し、パフォーマンスの低下や異常なメモリ使用を検出するストレステストの方法も用意しています（例：https://github.com/falcosecurity/event-generator）。さらに、第三者によるコードベースの監査も随時受けています。もちろん、これらは完璧な安全性の観点を保証するものではありませんが、成功率を最大化するよう努めています。この観点からすると、Goは間違いなく私たちの作業を楽にしてくれるでしょう。しかし、上記の理由により、これまでのところトレードオフがそれを正当化することはありませんでした。

Falcoの今後の展開は？

Falco Roadmapを探索して、Falcoの進化する機能の最新情報を入手してください。ロードマップでは、現在開発中の機能と将来のリリースで計画されている機能についての洞察が得られます。

ライセンス

FalcoはApache 2.0オープンソースライセンスの下でライセンスされています。

falco

人気