Falco — алерт при всплеске runtime-security events · monitoring cookbook · Enterno.io

Enterno.io Editorial Team

Falco — алерт при всплеске runtime-security events

Falco логирует подозрительные действия (write to /etc, shell in container, unexpected network connect) — но логи лежат локально и никто не смотрит. Атака внутри контейнера развивается тихо.

Стек: falco · journalctl · cron Теги: falco, security, runtime

Рецепт

bash

#!/usr/bin/env bash
# /etc/cron.d/falco-spike
# */5 * * * * root /opt/falco-spike.sh

WINDOW=${WINDOW:-5min}
THRESH=${THRESH:-5}                   # critical events / 5 min

# Falco emits to journald by default. Filter by Priority (warning+ = 0..4)
COUNT=$(journalctl -u falco --since "$WINDOW ago" -p warning --no-pager 2>/dev/null \
  | grep -c 'Priority: ')

if [ "${COUNT:-0}" -gt "$THRESH" ]; then
  SAMPLE=$(journalctl -u falco --since "$WINDOW ago" --no-pager -p warning 2>/dev/null \
    | grep -oE 'Rule "[^"]+"' | sort | uniq -c | sort -rn | head -3 | tr '\n' ';')
  curl -fsS "$HEARTBEAT_URL" --data-urlencode "falco_events=$COUNT,top_rules=$SAMPLE"
  exit 2
fi
echo "OK ($COUNT critical events / 5m)"

То же самое в Enterno.io

Подключите Enterno heartbeat — узнаете о runtime-security event-burst-е раньше, чем successful breach уйдёт лог-роторе или будет затёрт.

Настроить HTTP monitor → ← Все рецепты

Falco — алерт при всплеске runtime-security events

Рецепт

То же самое в Enterno.io

Похожие рецепты

HSTS preload — алерт когда заголовок пропал после деплоя

DNS AXFR — убедиться что zone transfer закрыт

nginx — алерт когда rate-limit-zone забивается

Начните мониторинг бесплатно