搭建 Falco 运行时安全检测

适用场景

需要检测容器内的异常进程、文件访问、网络连接和提权行为。Falco 基于 eBPF 或内核模块采集系统调用，按规则告警，适合 Kubernetes 运行时安全。

前置条件

• Kubernetes 集群和较新的内核。
• 告警输出通道：stdout、Falcosidekick、Kafka、Slack 等。
• 明确规则调优和误报处理流程。
• 节点资源满足 eBPF 采集开销。

步骤

1. 安装 Falco：

helm repo add falcosecurity https://falcosecurity.github.io/charts
helm install falco falcosecurity/falco \
  --namespace falco --create-namespace \
  --set driver.kind=ebpf \
  --set tty=true
kubectl -n falco get pods

2. 查看告警：

kubectl -n falco logs -l app.kubernetes.io/name=falco -f

3. 安装 Falcosidekick 转发告警：

helm upgrade falco falcosecurity/falco \
  --namespace falco \
  --set falcosidekick.enabled=true \
  --set falcosidekick.config.slack.webhookurl='https://hooks.slack.com/...'

4. 自定义规则：

kubectl -n falco create configmap falco-rules \
  --from-file=custom_rules.yaml=./custom_rules.yaml

规则示例：

- rule: Shell in container
  desc: Detect shell spawned in container
  condition: spawned_process and container and shell_procs
  output: Shell spawned (user=%user.name container=%container.name command=%proc.cmdline)
  priority: WARNING

5. 排除已知误报：

- rule: Shell in container
  exceptions:
  - name: known_admin
    fields: [container.name, proc.cmdline]
    values:
      - [debug-tools, "/bin/sh -c echo ok"]

验证

• Falco Pod 正常运行，eBPF 驱动加载成功。
• 在测试 Pod 中执行 sh 能触发告警。
• Slack/Kafka 能收到告警。
• 自定义规则生效。
• 误报豁免按预期工作。

回滚

• 删除自定义规则 ConfigMap，恢复默认规则。
• Helm 回滚 Falco 版本。
• 关闭 Falcosidekick 不影响 Falco 本身采集。
• 保留告警记录，便于复盘规则调整。

常见坑

• 内核不支持 eBPF 或 BTF，驱动加载失败，改用内核模块。
• 节点内核版本不一致，部分节点没有告警。
• 规则过于宽泛，误报淹没真实告警。
• 没有调优 proc.cmdline 和容器白名单，正常运维操作被当成攻击。
• Falcosidekick 配置错误，告警静默丢失。
• Falco 自身资源限制过低，事件丢失。
• 只告警不响应，没有 on-call 和处置流程。

相关命令

• falco — 运行时检测
• falcosidekick — 告警转发
• kubectl — 查看 Pod 和规则
• helm — 安装和升级
• bpftool — 检查 eBPF 程序