Falco

Um programa qualquer lendo /etc/shadow dentro de um contêiner é o tipo de evento que o Falco existe para pegar. O agente roda no Linux, acompanha eventos do kernel como chamadas de sistema e compara cada um com um conjunto de regras. Criado pela Sysdig, é hoje um projeto graduado da Cloud Native Computing Foundation (CNCF).

Para que serve

• Alertar quando um programa fora da lista de confiáveis lê um arquivo sensível, com regra que já vem pronta.
• Acrescentar ao alerta dados do runtime de contêiner e do Kubernetes.
• Mandar os eventos para um SIEM ou data lake fora da máquina.
• Escrever regras próprias em YAML, com condição, mensagem e prioridade.
• Ampliar a coleta para além das chamadas de sistema com plugins.

Como começar

O quickstart usa Docker num Linux; o guia avisa que os comandos não funcionam no Docker Desktop de Windows e macOS.

docker run --rm -it \
           --name falco \
           --privileged \
           -v /sys/kernel/tracing:/sys/kernel/tracing:ro \
           -v /var/run/docker.sock:/host/var/run/docker.sock \
           -v /proc:/host/proc:ro \
           -v /etc:/host/etc:ro \
           falcosecurity/falco:0.45.2

Noutro terminal, sudo cat /etc/shadow gera um alerta de nível Warning com o arquivo, a árvore de processos, o usuário e o comando. Repare no --privileged e nas montagens do host: o contêiner precisa delas para observar a máquina. Em cluster, o caminho é o chart Helm, que pode instalar o Falcosidekick junto. Há também pacotes DEB, RPM e tarball.

Licença e custo

Instalar o agente em quantos servidores quiser e integrá-lo a um produto próprio cabe na Apache 2.0, a licença do repositório. Nas redistribuições, a licença vai junto, as atribuições e o NOTICE (quando houver) se mantêm, e arquivos alterados recebem aviso da mudança. Plano pago não aparece no README nem no site.

Quando vale a pena

Equipes com cargas em Kubernetes ou em servidores Linux enxergam com ele o que acontece durante a execução, depois que a imagem já passou pelos scanners. O Falco detecta e dispara; a correlação com outros eventos fica num SIEM. Para máquinas Windows ou macOS ele não serve, porque é feito para Linux. Quem quer agente em cada máquina, painel e funções de SIEM num pacote só pode avaliar o Wazuh.