Laufzeitsicherheit

Container-Laufzeit-Bedrohungserkennung und Falco-Migration

Ersetzen Sie eigenständige Falco-Daemonsets durch den nativen eBPF-Laufzeitscanner von BlackShield oder importieren Sie vorhandene Falco-JSON/SARIF-Ereignisse während der Migration.

Migration und native Laufzeitkonfiguration

Set BLACKSHIELD_API_URL zum API-Ursprung, wie z https://api.blackshield.chaplau.com. Verwenden Sie nicht die Konsolen-Dashboard-URL. Wenn Sie von einer vorhandenen Falco-Bereitstellung migrieren, richten Sie den Collector auf Ihren exportierten JSONL/SARIF-Stream:

BLACKSHIELD_API_URL=https://api.blackshield.chaplau.com
BLACKSHIELD_API_KEY=sp_xxx
RUNTIME_ALERTS_ENABLED=true
RUNTIME_ALERTS_FILE=/var/log/runtime_events.jsonl
RUNTIME_MAX_ALERTS_PER_SCAN=5000

Verhalten

  • Erfasst Kernel- und Container-Laufzeitanomalien nativ oder importiert ältere JSON/NDJSON/SARIF-Ereignisexporte während der Migration.
  • Normalisiert Warnungen in runtime_threat Erkenntnisse.
  • Behält Prozess-, Systemaufruf- und Containerfelder darunter bei source.extra.output_fields.
  • Veröffentlicht Ergebnisse über die Plattform-Ingestion-API mit Connector-Telemetrie.

Rollout-Anleitung

  • Beginnen Sie in Nicht-Produktions-Namespaces, um ein grundlegendes Workload-Verhalten zu ermitteln.
  • Legen Sie die Aufbewahrung und Rotation von Warnungen fest, wenn Sie exportierte Ereignisdateien weiterleiten.
  • Korrelieren Sie mit Kyverno- und SIEM-Kontrollen für präventive und detektivische Abdeckung.
Container-Laufzeit-Bedrohungserkennung und Falco-Migration