الهجرة وتكوين وقت التشغيل الأصلي
تعيين BLACKSHIELD_API_URL إلى أصل API، مثل https://api.blackshield.chaplau.com. لا تستخدم عنوان URL للوحة معلومات وحدة التحكم. عند الترحيل من نشر Falco موجود، قم بتوجيه المجمع إلى تدفق JSONL/SARIF المُصدَّر:
BLACKSHIELD_API_URL=https://api.blackshield.chaplau.com BLACKSHIELD_API_KEY=sp_xxx RUNTIME_ALERTS_ENABLED=true RUNTIME_ALERTS_FILE=/var/log/runtime_events.jsonl RUNTIME_MAX_ALERTS_PER_SCAN=5000
السلوك
- يلتقط الحالات الشاذة في وقت تشغيل kernel والحاوية محليًا أو يستورد عمليات تصدير أحداث JSON/NDJSON/SARIF القديمة أثناء الترحيل.
- تطبيع التنبيهات إلى
runtime_threatالنتائج. - يحفظ حقول العملية و syscall والحاوية ضمن
source.extra.output_fields. - ينشر النتائج من خلال واجهة برمجة تطبيقات استيعاب النظام الأساسي باستخدام القياس عن بعد للموصل.
إرشادات الطرح
- ابدأ في مساحات الأسماء غير الإنتاجية لسلوك عبء العمل الأساسي.
- قم بتعيين الاحتفاظ بالتنبيه وتدويره عند إعادة توجيه ملفات الأحداث المصدرة.
- ارتبط بضوابط Kyverno وSIEM للتغطية الوقائية بالإضافة إلى التغطية البوليسية.