Falco

Définition

Falco est un outil open source de détection des menaces et de sécurité runtime pour les conteneurs et Kubernetes, développé par Sysdig et maintenant un projet CNCF incubé. Il détecte les comportements suspects et les violations de politique de sécurité en temps réel en analysant les appels système (syscalls) Linux via eBPF ou les modules kernel, ainsi que les API Kubernetes via l'audit log. Falco fonctionne sur la base de règles (Rules) définissant des comportements suspects ou interdits. Une règle Falco spécifie une condition (expression boolean sur les attributs des événements syscall ou API) et une sortie (message d'alerte avec variables contextuelles). Des centaines de règles prédéfinies couvrent les cas d'usage les plus importants : shell dans un conteneur, lecture de fichiers de credentials (/etc/passwd, .aws/credentials), connexions réseau inattendues, modification des fichiers de configuration système, élévation de privilèges. Les sources de données Falco incluent les syscalls Linux (via le driver eBPF - recommandé pour la production car plus stable que le module kernel), les Kubernetes Audit Events (comportements sur l'API Kubernetes : création de ClusterRoleBindings, exec dans des pods, accès aux Secrets), les Cloud API Events (AWS CloudTrail, GCP Audit Logs - via Falco plugins), et les événements de runtime Docker. Les règles Falco importantes en sécurité Kubernetes incluent : "Terminal shell in container" (shell interactif détecté dans un conteneur en production - indicateur fort de compromission ou d'activité non autorisée), "Write to etc directory" (modification de /etc dans un conteneur), "Contact K8S API Server From Container" (un conteneur communique directement avec l'API Kubernetes), et "Detected ptrace" (debugging de processus entre conteneurs). Falco s'intègre avec de nombreux systèmes de notification (Slack, PagerDuty, Elasticsearch, SIEM) via falco-sidekick, un composant companion qui route les alertes Falco vers différentes destinations de manière configurable.