2. 程式人生 > 實用技巧 >使用 Sysdig Falco 和 Kubernetes 設定執行時容器安全監控

使用 Sysdig Falco 和 Kubernetes 設定執行時容器安全監控

阿新 • • 發佈：2020-07-20

Falco是一個雲原生執行時安全系統，可與容器和原始 Linux 主機一起使用。它由Sysdig開發，是 Cloud Native Computing Foundation（雲原生計算基金會）的一個沙箱專案。Falco 的工作方式是檢視檔案更改、網路活動、程序表和其他資料是否存在可疑行為，然後通過可插拔後端傳送警報。通過核心模組或擴充套件的 BPF探測器在主機的系統呼叫級別檢查事件。Falco 包含一組豐富的規則，您可以編輯這些規則以標記特定的異常行為，併為正常的計算機操作建立允許列表。

在本教程中，您將學習如何在 IBM Cloud 上的 Kubernetes 叢集上安裝和設定 Falco、如何建立合成安全事件以及如何在 Falco 中檢視事件。最後，將 Falco 連線起來，在執行時向 Slack 傳送安全警報。本教程適用於標準

Kubernetes和Red Hat OpenShift on IBM Cloud。

您需要獲取此處的原始碼：

git clone https://gitlab.com/nibalizer/falco-iks
cd falco-iks

使用 Kubernetes daemonset配置 Falco

由於 Kubernetes 1.12 環境，本教程使用k8s-with-rbac檔案。Falco 需要設定幾個檔案：用於執行 Falco daemonset 的 Kubernetes 配置與針對 daemonset 本身的配置的組合。

1：檢視 Falco 檔案

Falco 使用 Kubernetes 中的服務帳戶來訪問 Kubernetes API。falco-account.yaml

規範設定了一種基於角色的通用訪問控制三重方法：ServiceAccount、ClusterRole和ClusterRoleBinding。ClusterRole包含關於所授予的訪問許可權的資訊。如果您在這些檔案中沒有進行任何更改，那麼 Falco 守護程序只能讀取和列示，而不能修改 Kubernetes API 中的任何物件。

$ ls -l
total 20
-rw-r--r-- 1 nibz nibz  931 Mar 29 15:46 falco-account.yaml
drwxr-xr-x 2 nibz nibz 4096 Mar 29 15:51 falco-config/
-rw-r--r-- 1
 
 nibz nibz 2138 Mar 29 15:48 falco-daemonset-configmap.yaml
-rw-r--r-- 1 nibz nibz  196 Mar 29 15:45 falco-service.yaml
-rw-r--r-- 1 nibz nibz   13 Mar 29 15:27 Readme.md

2：配置基於角色的訪問控制 (RBAC) 

kubectl apply -f falco-account.yaml
serviceaccount/falco-account created
clusterrole.rbac.authorization.k8s.io/falco-cluster-role created
clusterrolebinding.rbac.authorization.k8s.io/falco-cluster-role-binding created

3：應用 Falco 服務物件 

$ kubectl apply -f falco-service.yaml
service/falco-service created

4：建立 falco-config ConfigMap

Falco 的配置被分成幾個檔案。falco.yaml是指守護程序配置的細節：輸出型別、埠等。其他*_rules.yaml檔案包含 Falco 會針對其進行觸發的檢查（正在開啟的 shell、正在修改的檔案等）。通過將--from-file自變數與目錄一起使用，將所有這些檔案組合到單個 ConfigMap 中：

 kubectl create configmap falco-config --from-file=falco-config
configmap/falco-config created

5：啟動 Falco DaemonSet

最後，執行 Falco 應用程式。它作為 DaemonSet 執行，使您可以在每個節點上執行一個：

kubectl apply -f falco-daemonset-configmap.yaml
daemonset.extensions/falco-daemonset created
6：檢查 pod 是否正確啟動 

kubectl get pod
NAME                    READY   STATUS    RESTARTS   AGE
falco-daemonset-99p8j   1/1     Running   0          26s
falco-daemonset-wf2lf   1/1     Running   0          26s
falco-daemonset-wqrwm   1/1     Running   0          26s

7：檢查日誌並讀取 DKMS 訊息 

kubectl logs falco-daemonset-wf2lf
* Setting up /usr/src links from host
* Unloading falco-probe, if present
* Running dkms install for falco

Kernel preparation unnecessary for this kernel.  Skipping...

Building module:
cleaning build area...
make -j2 KERNELRELEASE=4.4.0-148-generic -C /lib/modules/4.4.0-148-generic/build M=/var/lib/dkms/falco/0.1.2780dev/build....
cleaning build area...

DKMS: build completed.

falco-probe.ko:

Falco 正在執行並且正在記錄事件。

檢視 Falco 的配置

1：檢查 DaemonSet 配置

執行以下命令，以告知 DaemonSet 使用您先前設定的服務帳戶和許可權來執行：

cat falco-daemonset-configmap.yaml | grep serviceAcc
serviceAccount: falco-account

檢視falco-account.yaml以獲取詳細資訊。此配置提供對 Kubernetes API 伺服器中幾乎所有內容的讀取訪問許可權。

您將許多重要的目錄從 Kubernetes 主機安裝到 Falco pod 中：

cat falco-daemonset-configmap.yaml | grep -A 11 volumes:
      volumes:
        - name: containerd-socket
          hostPath:
            path: /run/containerd/containerd.sock
        - name: dev-fs
          hostPath:
            path: /dev
        - name: proc-fs
          hostPath:
            path: /proc
        - name: boot-fs
          hostPath:

此步驟使 Falco 可以與容器執行時環境進行互動，以提取容器元資料（例如，容器名稱和底層映象名稱），查詢主機的程序表以發現程序名稱。另需注意，此示例將對映containerd-socket，而不是docker-socket。

2：檢查 Falco 配置檔案 
ls falco-config/
falco_rules.local.yaml  falco_rules.yaml  falco.yaml  k8s_audit_rules.yaml

3：檢視 Falco 值

該規則監視可能有害的 Netcat 命令，並在發現其處於WARNING級別時發出警報。

cat falco-config/falco_rules.yaml | grep -A 12 'Netcat Remote'
- rule: Netcat Remote Code Execution in Container
  desc: Netcat Program runs inside container that allows remote code execution
  condition: >
    spawned_process and container and
    ((proc.name = "nc" and (proc.args contains "-e" or proc.args contains "-c")) or
     (proc.name = "ncat" and (proc.args contains "--sh-exec" or proc.args contains "--exec"))
    )
  output: >
    Netcat runs inside container that allows remote code execution (user=%user.name
    command=%proc.cmdline container_id=%container.id container_name=%container.name image=%container.image.repository:%container.image.tag)
  priority: WARNING
  tags: [network, process]

觀察 Falco 的實際應用

現在讓我們看看 Falco 的實際應用。您將跟蹤一個終端中的日誌，然後在另一終端中綜合建立一些事件，並觀察事件是否記錄到日誌。

1：跟蹤第一個終端中的日誌 

kubectl get pod
NAME                    READY   STATUS    RESTARTS   AGE
falco-daemonset-99p8j   1/1     Running   0          112m
falco-daemonset-wf2lf   1/1     Running   0          112m
falco-daemonset-wqrwm   1/1     Running   0          112m
$ kubectl logs -f falco-daemonset-99p8j
* Setting up /usr/src links from host
* Unloading falco-probe, if present
* Running dkms install for falco

Kernel preparation unnecessary for this kernel.  Skipping...

Building module:
cleaning build area...
make -j2 KERNELRELEASE=4.4.0-148-generic -C /lib/modules/4.4.0-148-generic/build M=/var/lib/dkms/falco/0.1.2780dev/build....
cleaning build area...

DKMS: build completed.

falco-probe.ko:
Running module version sanity check.
 - Original module
   - No original module exists within this kernel
 - Installation
   - Installing to /lib/modules/4.4.0-148-generic/kernel/extra/
mkdir: cannot create directory '/lib/modules/4.4.0-148-generic/kernel/extra': Read-only file system
cp: cannot create regular file '/lib/modules/4.4.0-148-generic/kernel/extra/falco-probe.ko': No such file or directory

depmod...

DKMS: install completed.
* Trying to load a dkms falco-probe, if present
falco-probe found and loaded in dkms
Wed May 29 14:55:36 2019: Falco initialized with configuration file /etc/falco/falco.yaml
Wed May 29 14:55:36 2019: Loading rules from file /etc/falco/falco_rules.yaml:
Wed May 29 14:55:37 2019: Loading rules from file /etc/falco/falco_rules.local.yaml:
Wed May 29 14:55:37 2019: Loading rules from file /etc/falco/k8s_audit_rules.yaml:
Wed May 29 14:55:38 2019: Starting internal webserver, listening on port 8765
{"output":"00:00:00.020155776: Informational Container with sensitive mount started (user=<NA> command=container:9d56002def78 k8s.ns=<NA> k8s.pod=<NA> container=9d56002def78 image=docker.io/falcosecurity/falco:dev mounts=/run/containerd/containerd.sock:/host/run/containerd/containerd.sock::true:private,/dev:/host/dev::true:private,/proc:/host/proc::false:private,/boot:/host/boot::false:private,/lib/modules:/host/lib/modules::false:private,/usr:/host/usr::false:private,/etc:/host/etc/::false:private,/var/data/kubelet/pods/c0a1a131-8221-11e9-b9cf-c68b81a15994/volumes/kubernetes.io~configmap/falco-config:/etc/falco::false:private,/var/data/kubelet/pods/c0a1a131-8221-11e9-b9cf-c68b81a15994/volumes/kubernetes.io~secret/falco-account-token-jlddc:/var/run/secrets/kubernetes.io/serviceaccount::false:private,/var/data/kubelet/pods/c0a1a131-8221-11e9-b9cf-c68b81a15994/etc-hosts:/etc/hosts::true:private,/var/data/kubelet/pods/c0a1a131-8221-11e9-b9cf-c68b81a15994/containers/falco/cb0bed6e:/dev/termination-log::true:private) k8s.ns=<NA> k8s.pod=<NA> container=9d56002def78","priority":"Informational","rule":"Launch Sensitive Mount Container","time":"1970-01-01T00:00:00.020155776Z", "output_fields": {"container.id":"9d56002def78","container.image.repository":"docker.io/falcosecurity/falco","container.image.tag":"dev","container.mounts":"/run/containerd/containerd.sock:/host/run/containerd/containerd.sock::true:private,/dev:/host/dev::true:private,/proc:/host/proc::false:private,/boot:/host/boot::false:private,/lib/modules:/host/lib/modules::false:private,/usr:/host/usr::false:private,/etc:/host/etc/::false:private,/var/data/kubelet/pods/c0a1a131-8221-11e9-b9cf-c68b81a15994/volumes/kubernetes.io~configmap/falco-config:/etc/falco::false:private,/var/data/kubelet/pods/c0a1a131-8221-11e9-b9cf-c68b81a15994/volumes/kubernetes.io~secret/falco-account-token-jlddc:/var/run/secrets/kubernetes.io/serviceaccount::false:private,/var/data/kubelet/pods/c0a1a131-8221-11e9-b9cf-c68b81a15994/etc-hosts:/etc/hosts::true:private,/var/data/kubelet/pods/c0a1a131-8221-11e9-b9cf-c68b81a15994/containers/falco/cb0bed6e:/dev/termination-log::true:private","evt.time":20155776,"k8s.ns.name":null,"k8s.pod.name":null,"proc.cmdline":"container:9d56002def78","user.name":null}}

2：在第二個終端中建立安全事件 

export KUBECONFIG=/home/nibz/.bluemix/plugins/container-service/clusters/yourcluster.yml
$ kubectl get pod
NAME                    READY   STATUS    RESTARTS   AGE
falco-daemonset-99p8j   1/1     Running   0          3h2m
falco-daemonset-wf2lf   1/1     Running   0          3h2m
falco-daemonset-wqrwm   1/1     Running   0          3h2m
nibz@shockley:~/projects/falco/install-falco-iks/git-repo$ kubectl  exec -it falco-daemonset-99p8j /bin/bash
root@falco-daemonset-99p8j:/# echo "I'm in!"
I'm in!
root@falco-daemonset-99p8j:/#

在第一個終端中，您可以看到事件：

{"output":"17:58:28.064781208: Notice A shell was spawned in a container with an attached terminal (user=root k8s.ns=default k8s.pod=falco-daemonset-99p8j container=9d56002def78 shell=bash parent=<NA> cmdline=bash terminal=34816) k8s.ns=default k8s.pod=falco-daemonset-99p8j container=9d56002def78","priority":"Notice","rule":"Terminal shell in container","time":"2019-05-29T17:58:28.064781208Z", "output_fields": {"container.id":"9d56002def78","evt.time":1559152708064781208,"k8s.ns.name":"default","k8s.pod.name":"falco-daemonset-99p8j","proc.cmdline":"bash","proc.name":"bash","proc.pname":null,"proc.tty":34816,"user.name":"root"}}

3：使用 jq 處理事件

當您使用jq處理事件時，Falco 會提供有關安全事件以及事件的完整 Kubernetes 上下文的有用資訊，例如 pod 名稱和名稱空間：

echo '{"output":"17:58:28.064781208: Notice A shell was spawned in a container with an attached terminal (user=root k8s.ns=default k8s.pod=falco-daemonset-99p8j container=9d56002def78 shell=bash parent=<NA> cmdline=bash terminal=34816) k8s.ns=default k8s.pod=falco-daemonset-99p8j container=9d56002def78","priority":"Notice","rule":"Terminal shell in container","time":"2019-05-29T17:58:28.064781208Z", "output_fields": {"container.id":"9d56002def78","evt.time":1559152708064781208,"k8s.ns.name":"default","k8s.pod.name":"falco-daemonset-99p8j","proc.cmdline":"bash","proc.name":"bash","proc.pname":null,"proc.tty":34816,"user.name":"root"}}
> ' | jq '.'
{
  "output": "17:58:28.064781208: Notice A shell was spawned in a container with an attached terminal (user=root k8s.ns=default k8s.pod=falco-daemonset-99p8j container=9d56002def78 shell=bash parent=<NA> cmdline=bash terminal=34816) k8s.ns=default k8s.pod=falco-daemonset-99p8j container=9d56002def78",
  "priority": "Notice",
  "rule": "Terminal shell in container",
  "time": "2019-05-29T17:58:28.064781208Z",
  "output_fields": {
    "container.id": "9d56002def78",
    "evt.time": 1559152708064781300,
    "k8s.ns.name": "default",
    "k8s.pod.name": "falco-daemonset-99p8j",
    "proc.cmdline": "bash",
    "proc.name": "bash",
    "proc.pname": null,
    "proc.tty": 34816,
    "user.name": "root"
  }
}

現在您可以觸發早前顯示的 Netcat 規則：

nc -l 4444
kubectl logs falco-daemonset-99p8j
...

{"output":"18:00:41.530249297: Notice Network tool launched in container (user=root command=nc -l 4444 container_id=9d56002def78 container_name=falco image=docker.io/falcosecurity/falco:dev) k8s.ns=default k8s.pod=falco-daemonset-99p8j container=9d56002def78 k8s.ns=default k8s.pod=falco-daemonset-99p8j container=9d56002def78","priority":"Notice","rule":"Lauch Suspicious Network Tool in Container","time":"2019-05-29T18:00:41.530249297Z", "output_fields": {"container.id":"9d56002def78","container.image.repository":"docker.io/falcosecurity/falco","container.image.tag":"dev","container.name":"falco","evt.time":1559152841530249297,"k8s.ns.name":"default","k8s.pod.name":"falco-daemonset-99p8j","proc.cmdline":"nc -l 4444","user.name":"root"}}
...
$ echo '{"output":"18:00:41.530249297: Notice Network tool launched in container (user=root command=nc -l 4444 contain    er_id=9d56002def78 container_name=falco image=docker.io/falcosecurity/falco:dev) k8s.ns=default k8s.pod=falco-    daemonset-99p8j container=9d56002def78 k8s.ns=default k8s.pod=falco-daemonset-99p8j container=9d56002def78","priority":"Notice","rule":"Lauch Suspicious Network Tool in Container","time":"2019-05-29T18:00:41.530249297Z",     "output_fields": {"container.id":"9d56002def78","container.image.repository":"docker.io/falcosecurity/falco",    "container.image.tag":"dev","container.name":"falco","evt.time":1559152841530249297,"k8s.ns.name":"default","k    8s.pod.name":"falco-daemonset-99p8j","proc.cmdline":"nc -l 4444","user.name":"root"}}' | jq '.'
{
  "output": "18:00:41.530249297: Notice Network tool launched in container (user=root command=nc -l 4444 contain    er_id=9d56002def78 container_name=falco image=docker.io/falcosecurity/falco:dev) k8s.ns=default k8s.pod=falco-    daemonset-99p8j container=9d56002def78 k8s.ns=default k8s.pod=falco-daemonset-99p8j container=9d56002def78",
  "priority": "Notice",
  "rule": "Lauch Suspicious Network Tool in Container",
  "time": "2019-05-29T18:00:41.530249297Z",
  "output_fields": {
    "container.id": "9d56002def78",
    "container.image.repository": "docker.io/falcosecurity/falco",
    "container.image.tag": "dev",
    "container.name": "falco",
    "evt.time": 1559152841530249200,
    "k8s.ns.name": "default",
    "k8s.pod.name": "falco-daemonset-99p8j",
    "proc.cmdline": "nc -l 4444",
    "user.name": "root"
  }
}

您已看到 Falco 可以發現什麼樣的事件以及如何進行配置。

摘自

https://developer.ibm.com/zh/tutorials/installing-and-using-sysdig-falco/

相關推薦

使用 Sysdig Falco 和 Kubernetes 設定執行時容器安全監控

Falco是一個雲原生執行時安全系統，可與容器和原始 Linux 主機一起使用。它由Sysdig開發，是 Cloud Native Computing Foundation（雲原生計算基金會）的一個沙箱專案。Falco 的工作方式是檢視檔案更改、網路活動、程

Angular NgModule裡定義的註解和NgModuleRef$1執行時

ExampleModule的declarations裡有五個Components： 對應原始碼中這五個Component： 6個imports：

Qt設定執行時動態庫路徑的幾點說明

隨著需求的不斷增加，程式不斷變大，用到的動態庫也越來越多，到了釋出程式的時候你會發現和可執行檔案同一目錄下檔案數量真多（比如著名的金融軟體 https://www.webull.com/ 哎呀我去，目錄下一堆動態庫檔案，滾動條

你的 K8s 執行時環境安全嗎？--KubeXray 幫你保護 K8s 環境及應用

引言大多數安全措施都是為了防止漏洞逃跑而設計的， 在此之前，我們也分享了一些第三方安全掃描的文章（請移步到歷史文章中檢視），儘早識別應用程式的風險意味著您可以防止或限制它部署到您的系統中（安全

【K8s任務】為容器設定啟動時要執行的命令和引數

參考：https://kubernetes.io/zh/docs/tasks/inject-data-application/define-command-argument-container/

為什麼容器和 Kubernetes 有潛力執行一切

不僅可以部署簡單的應用程式，還可以用 Kubernetes 運維器應對第 2 天運營。 在我的第一篇文章 為什麼說 Kubernetes 是一輛翻鬥車 中，我談到了 Kubernetes 如何在定義、分享和執行應用程式方面很出色，類似於翻

K8S 容器執行時安全設定

容器安全性-為容器配置安全上下文 安全上下文（Security Context）定義 Pod 或 Container 的特權與訪問控制設定。 安全上下文包括但不限於：

如何基於 OpenKruise 打破原生 Kubernetes 中的容器執行時操作侷限？

作者：王思宇，阿里雲技術專家，OpenKruise 社群負責人 通常情況下，人們只能使用普通舊資料作為 Kubernetes 中最小的操作單元。一些公司在他們的叢集中入侵了 Kubelet 的程式碼，以便他們可以對容器做更多的事情。然

零基礎教程！一文教你使用Rancher 2.3和Terraform執行Windows容器

本文來自Rancher Labs 介紹 在Kubernetes 1.14版本中已經GA了對Windows的支援。這一結果凝結了一群優秀的工程師的努力，他們來自微軟、Pivotal、VMware、紅帽以及現在已經關閉的Apprenda等幾家公司。我在Apprenda工作

JVM—【01】認識JVM的記憶體佈局和執行時資料區

1. Java 記憶體區域 1.1. JVM 記憶體佈局 與 執行時資料區 1.2. Heap 堆 它的唯一目的就是存放物件例項；幾乎所有物件例項和陣列，分配記憶體的區域。

Java執行時和編譯時都經歷了什麼？

不知大家有沒有思考過，當我們使用IDE寫了一個Demo類，並執行main函式列印 hello world時都經歷了哪些流程麼？

C#架構設計-程式執行時從xml配置檔案中載入配置項並設定為全域性變數

場景 C#中全域性作用域的常量、欄位、屬性、方法的定義與使用： https://blog.csdn.net/BADAO_LIUMANG_QIZHI/article/details/102550025

winform窗體執行時的大小和設計時不一致

窗體設定的尺寸為1946*850，而電腦解析度是1920*1280 按說寬度已經超過螢幕大小很多了，應該顯示佔滿螢幕寬度才對，但是執行時寬度只有設計時的一半

在執行時建立、位置顯示和隱藏控制元件使用展示視窗

下載source files - 12.2 Kb 介紹 在本教程中，我將演示一種在開發應用程式(比如圖形應用程式)時非常有用的方法。 眾所周知，應用程式會有很多控制元件供使用者互動，以便在他們正在製作的主題上獲得預期的結果。

基於Rust-vmm實現Kubernetes執行時

隨著容器及K8s的廣泛使用，越來越多的容器安全與隔離問題被暴露出來，如：容器逃逸、水平攻擊、DDos攻擊等嚴重威脅了辦公和生產環境的安全與穩定，影響了業務的正常執行。安全容器技術孕育而生，產生了kata、gVisor、

反射之------獲得執行時類的指定屬性及其賦值和獲取屬性值的操作

package com.heima.userJSTL; import java.lang.reflect.Field; public class GetFiledTheOne { public static void main(String[] args) throws Exception {

佇列——以陣列Q[m]存放迴圈佇列元素，設定一個標誌tag，以tag=0和tag=1來區別在頭指標和尾指標相等時，佇列為空或滿

特別用了指標來計算 但如果是int*a = new int; *a = 1; 直接用*a去進行運算，就跟正常的佇列設計是一樣的了

用C#建立一個Student類，要求該類擁有StuName、StuClass兩個屬性和一個用於計算並返回總分的GradeSum（）方法。設計一個使用Student類的應用程式，執行時，使用者輸入了姓名、

技術標籤：C#程式人生那些年踩過的坑c#程式人生經驗分享 1.題目要求如下： 建立一個Student類，要求該類擁有StuName、StuClass兩個屬性和一個用於計算並返回總分的GradeSum（）方法。設計一個使用Student類的應用

Golang 中使用 JSON 時如何區分空欄位和未設定欄位？

文章目錄 簡介問題簡答？指標解決辦法 附錄: 簡介 原文參見：Golang 中使用 JSON 時如何區分空欄位和未設定欄位？ 幾周前，我在使用 Golang 微服務，需要新增使用 JSON 資料的 CURP 操作的支援。通常，我會

獲取類執行時的屬性和方法

package cn.rushangw.reflection;import java.lang.reflect.Constructor;import java.lang.reflect.Field;import java.lang.reflect.Method;//獲得類的資訊public class Test08 {public static void main(String[] a