Seguridad en tiempo de ejecución

Detección de amenazas en tiempo de ejecución de contenedores y migración de Falco

Reemplace los conjuntos de demonios independientes de Falco con el escáner de tiempo de ejecución eBPF nativo de BlackShield o importe eventos JSON/SARIF de Falco existentes durante la migración.

Migración y configuración de tiempo de ejecución nativo

conjunto BLACKSHIELD_API_URL al origen de la API, como https://api.blackshield.chaplau.com. No utilice la URL del panel de la consola. Al migrar desde una implementación de Falco existente, apunte el recopilador a su secuencia JSONL/SARIF exportada:

BLACKSHIELD_API_URL=https://api.blackshield.chaplau.com
BLACKSHIELD_API_KEY=sp_xxx
RUNTIME_ALERTS_ENABLED=true
RUNTIME_ALERTS_FILE=/var/log/runtime_events.jsonl
RUNTIME_MAX_ALERTS_PER_SCAN=5000

Comportamiento

  • Captura anomalías del tiempo de ejecución del kernel y del contenedor de forma nativa o importa exportaciones de eventos JSON/NDJSON/SARIF heredados durante la migración.
  • Normaliza las alertas en runtime_threat recomendaciones.
  • Conserva los campos de proceso, llamada al sistema y contenedor en source.extra.output_fields.
  • Publica resultados a través de la API de ingesta de la plataforma con telemetría del conector.

Guía de implementación

  • Comience en espacios de nombres que no sean de producción para establecer una línea base del comportamiento de la carga de trabajo.
  • Configure la retención y rotación de alertas al reenviar archivos de eventos exportados.
  • Correlacione con los controles Kyverno y SIEM para cobertura preventiva y detectivesca.
Detección de amenazas en tiempo de ejecución de contenedores y migración de Falco