killvxk 使用 Falco 执行云原生取证
使用说明
在容器化环境中部署和管理 Falco 规则，用于运行时安全检测。解析 Falco 告警以进行事件响应。
# 检测容器中 shell 的自定义 Falco 规则
- rule: Shell Spawned in Container
desc: 检测在容器中启动 shell 进程
condition: >
spawned_process and container
and proc.name in (bash, sh, zsh, dash, csh)
and not proc.pname in (docker-entrypo, supervisord)
output: >
容器中生成 shell
(user=%user.name command=%proc.cmdline container=%container.name
image=%container.image.repository)
priority: WARNING
tags: [container, shell, mitre_execution]
关键检测规则：
- 非交互式容器中的 shell 生成
- 访问敏感文件（/etc/shadow、/etc/passwd）
- 来自意外容器的出站连接
- 通过 setuid/setgid 进行权限提升
- 通过 mount 或 ptrace 进行容器逃逸
示例
# 使用自定义规则运行 Falco
falco -r /etc/falco/custom_rules.yaml -o json_output=true
# 解析 JSON 告警
cat /var/log/falco/alerts.json | python3 -c "import json,sys; [print(json.loads(l)['output']) for l in sys.stdin]"