Falco Rules

Définition

Les Falco Rules (règles Falco) sont des définitions de politiques de détection comportementale pour Falco, le moteur de sécurité runtime cloud-native de la CNCF (Cloud Native Computing Foundation). Ces règles définissent des conditions qui, si elles se réalisent dans un workload en production, déclenchent des alertes ou des actions de réponse. Falco est devenu la solution de référence pour la détection des menaces runtime dans les environnements Kubernetes et conteneurisés. Falco fonctionne en interceptant les appels système au niveau kernel via eBPF ou des kernel modules, et évalue en temps réel si ces appels correspondent aux conditions définies dans ses règles. Une règle Falco typique définit : une condition (expression booléenne sur des événements kernel), une description textuelle de la menace, un niveau de priorité (EMERGENCY, ALERT, CRITICAL, ERROR, WARNING, NOTICE, DEBUG), et un output formaté pour les alertes. La bibliothèque de règles Falco standard (falco-rules) fournit des centaines de règles couvrant les scénarios de menaces les plus courants dans les environnements Kubernetes : exécution d'un shell dans un container (utile pour la détection d'attaques de container escape et d'exploitation), lecture de fichiers de credentials (lecture de /etc/shadow, de fichiers de clés SSH, de tokens Kubernetes), écriture dans des répertoires système (modification de binaires du système), création de fichiers world-writable, lancement de processus inattendus dans des containers spécifiques, et communication réseau vers des IPs suspectes. Les règles Falco sont écrites en YAML avec un langage d'expression spécifique (basé sur des sysdig filter fields) et peuvent être personnalisées selon le contexte de l'organisation. Des macros réutilisables permettent de partager des conditions communes entre règles. Des listes permettent de définir des whitelists (conteneurs autorisés à lancer des shells, fichiers système modifiables). Falco s'intègre dans les pipelines de réponse aux incidents via des outputs configurables : syslog, stdout (JSON), gRPC, webhooks vers des SIEM, et des plugins pour Slack, PagerDuty, ou des solutions SOAR. Falco Sidekick est un composant complémentaire qui enrichit les alertes et les route vers de nombreuses destinations.