Falco

Falco é uma ferramenta de segurança de runtime nativa de nuvem para sistemas operacionais Linux. Ela é projetada para detectar e alertar sobre comportamentos anormais e possíveis ameaças de segurança em tempo real.

Em sua essência, o Falco é um agente de monitoramento e detecção do kernel que observa eventos, como syscalls, com base em regras personalizadas. O Falco pode enriquecer esses eventos integrando metadados do runtime de contêineres e do Kubernetes. Os eventos coletados podem ser analisados fora do host em sistemas de SIEM ou data lake.

O Falco, criado originalmente pela Sysdig, é um projeto graduado sob a Cloud Native Computing Foundation (CNCF), usado em produção por diversas organizações.

Para informações técnicas detalhadas e insights sobre as ameaças cibernéticas que o Falco pode detectar, visite o site oficial do Falco.

Para informações abrangentes sobre as últimas atualizações e mudanças do projeto, consulte o Registro de Alterações.

O Projeto Falco

O código-fonte do Projeto Falco é mantido sob a organização falcosecurity no GitHub. O repositório principal, falcosecurity/falco, contém o código-fonte do binário do Falco, enquanto outros subprojetos estão hospedados em repositórios dedicados. Essa abordagem de isolar componentes em repositórios especializados melhora a modularidade e o desenvolvimento focado. Repositórios principais notáveis incluem:

falcosecurity/libs: Este repositório hospeda as bibliotecas principais do Falco, que constituem a maior parte do código-fonte do binário e fornecem recursos essenciais, como drivers de kernel.
falcosecurity/rules: Ele contém o conjunto oficial de regras do Falco, oferecendo regras de detecção predefinidas para diversas ameaças de segurança e comportamentos anormais.
falcosecurity/plugins: Este repositório oferece suporte à integração com serviços externos por meio de plugins que estendem os recursos do Falco além de syscalls e eventos de contêineres, com planos de evoluir funcionalidades especializadas em versões futuras.
falcosecurity/falcoctl: Um utilitário de linha de comando projetado para gerenciar e interagir com o Falco.
falcosecurity/charts: Este repositório publica Helm charts para implantar o Falco e seu ecossistema. O código-fonte do chart do Falco está em chart/falco.

Para mais informações sobre nossos repositórios e detalhes adicionais sobre nosso modelo de governança, visite o hub oficial do Projeto Falco: falcosecurity/evolution.

Começando com o Falco

Se você é novo no Falco, comece sua jornada com nosso guia Começando. Para implantações em produção, consulte nossa documentação abrangente de Setup.

Como recomendações finais antes de implantar o Falco, verifique a compatibilidade do ambiente, defina suas metas de detecção, otimize o desempenho, escolha a compilação apropriada e planeje a integração com SIEM ou data lake para garantir uma resposta eficaz a incidentes.

Ambiente de Demonstração

Um ambiente de demonstração é fornecido por meio de um arquivo docker-compose que pode ser iniciado em um host docker, que inclui falco, falcosidekick, falcosidekick-ui e o banco de dados redis necessário. Para mais informações, consulte a seção docker-compose.

Participe da Comunidade

Para se envolver com o Projeto Falco, visite o repositório Community para encontrar mais informações e formas de participar.

Se você tiver alguma dúvida sobre o Falco ou sobre como contribuir, não hesite em abrir uma issue ou entrar em contato com os mantenedores do Falco e membros da comunidade para obter ajuda.

Como entrar em contato?

Participe do canal #falco no Kubernetes Slack.
Participe da lista de e-mails do Falco.
Abra uma issue ou faça solicitações de funcionalidades.

Compromisso com a Própria Segurança do Falco

Relatórios completos de várias auditorias de segurança podem ser encontrados aqui.

Além disso, você pode consultar as seções de segurança do falco e libs para atualizações detalhadas sobre avisos e políticas de segurança.

Para relatar vulnerabilidades de segurança, siga o processo da comunidade descrito na documentação encontrada aqui.

Compilação

Para instruções abrangentes, passo a passo, sobre como compilar o Falco a partir do código-fonte, consulte a documentação oficial.

Testes

Expandir Instruções de Teste

O Build Falco from source do Falco é o recurso ideal para entender como compilar o Falco a partir do código-fonte. Além disso, o repositório falcosecurity/libs oferece informações valiosas adicionais sobre testes e depuração das bibliotecas subjacentes e drivers de kernel do Falco.

Aqui está um exemplo de comando cmake que habilitará tudo o que você precisa para todos os testes unitários deste repositório:

cmake \
-DUSE_BUNDLED_DEPS=ON \
-DBUILD_DRIVER=ON \
-DBUILD_FALCO_MODERN_BPF=ON \
-DCREATE_TEST_TARGETS=ON \
-DBUILD_FALCO_UNIT_TESTS=ON ..;

Compile e execute a suíte de testes unitários:

nproc=$(grep processor /proc/cpuinfo | tail -n 1 | awk '{print $3}');
make -j$(($nproc-1)) falco_unit_tests;
# Run the tests
sudo ./unit_tests/falco_unit_tests;

Opcionalmente, compile o driver de sua escolha e teste a execução do binário do Falco para realizar testes manuais.

Por fim, o Projeto Falco transferiu seus testes de regressão para falcosecurity/testing.

Como Contribuir

Consulte o guia Contributing e o Código de Conduta para obter mais informações sobre como contribuir.

Perguntas Frequentes

Por que o Falco é escrito em C++ em vez de Go ou {linguagem}?

Expandir Informações

As primeiras linhas de código na base do Falco foram escritas há algum tempo, quando Go ainda não tinha o mesmo nível de maturidade e adoção que tem hoje.
O modelo de execução do Falco é sequencial e de thread única devido aos requisitos de estado da ferramenta, e, portanto, a maioria dos pontos fortes relacionados à concorrência do runtime de Go não seria aproveitada de forma alguma.
O código do Falco lida com programação de baixo nível em muitos lugares, e todos sabemos que interfacear Go com C é possível, mas traz muita complexidade e tradeoffs para a mesa.
Como uma ferramenta de segurança destinada a consumir uma taxa altíssima de eventos por segundo, o Falco precisa extrair desempenho em todos os caminhos críticos (hot paths) em tempo de execução e exige controle profundo sobre a alocação de memória, o que o runtime de Go não pode fornecer (há também coleta de lixo envolvida).
Embora Go não atendesse aos requisitos de engenharia do núcleo do Falco, ainda achamos que ele poderia ser um bom candidato para escrever extensões do Falco por meio do sistema de plugins. Essa é a principal razão pela qual demos atenção especial e alta prioridade ao desenvolvimento do plugin-sdk-go.
Go não é um requisito para ter binários estaticamente linkados. Na verdade, fornecemos compilações totalmente estáticas do Falco há alguns anos. O único problema com elas é que o sistema de plugins não pode ser suportado com o atual modelo de biblioteca dinâmica que temos.
O sistema de plugins foi concebido para suportar múltiplas linguagens, portanto, manter um código compatível com C é a melhor estratégia para garantir a máxima compatibilidade entre linguagens.
Em geral, os plugins têm requisitos/dependências de GLIBC porque possuem bindings C de baixo nível necessários para o carregamento dinâmico. Uma solução potencial para o futuro seria também suportar plugins estaticamente linkados em tempo de compilação e, assim, lançados como parte do binário do Falco. Embora nenhum trabalho tenha começado ainda nessa direção, isso resolveria a maioria dos problemas que você relatou e também forneceria um binário totalmente estático. É claro que isso não seria mais compatível com carregamento dinâmico, mas pode ser uma solução viável para nossa variante de compilação estática do Falco.
A segurança de memória é definitivamente uma preocupação e fazemos o nosso melhor para manter um alto nível de qualidade, mesmo que C++ seja bastante propenso a erros. Por exemplo, tentamos usar smart pointers sempre que possível, compilamos as bibliotecas com um address sanitizer no nosso CI, executamos o Falco com Valgrind antes de cada lançamento e temos maneiras de submetê-lo a testes de estresse para detectar regressões de desempenho ou uso estranho de memória (por exemplo, https://github.com/falcosecurity/event-generator). Além disso, também temos terceiros auditando o código-fonte de tempos em tempos. Nada disso garante, é claro, uma segurança perfeita, mas tentamos maximizar nossas chances. Go definitivamente facilitaria nossa vida nessa perspectiva; no entanto, os tradeoffs nunca fizeram valer a pena até agora, devido aos pontos acima.

O que vem a seguir para o Falco?

Mantenha-se atualizado sobre as funcionalidades em evolução do Falco explorando o Falco Roadmap, que fornece insights sobre as funcionalidades atualmente em desenvolvimento e planejadas para versões futuras.

Licença

O Falco é licenciado para você sob a licença de código aberto Apache 2.0.

falco

Mais Populares