Migration et configuration du runtime natif
Ensemble BLACKSHIELD_API_URL à l'origine de l'API, comme https://api.blackshield.chaplau.com. N'utilisez pas l'URL du tableau de bord de la console. Lors de la migration à partir d'un déploiement Falco existant, pointez le collecteur vers votre flux JSONL/SARIF exporté :
BLACKSHIELD_API_URL=https://api.blackshield.chaplau.com BLACKSHIELD_API_KEY=sp_xxx RUNTIME_ALERTS_ENABLED=true RUNTIME_ALERTS_FILE=/var/log/runtime_events.jsonl RUNTIME_MAX_ALERTS_PER_SCAN=5000
Comportement
- Capture nativement les anomalies d'exécution du noyau et du conteneur ou importe les anciennes exportations d'événements JSON/NDJSON/SARIF pendant la migration.
- Normalise les alertes en
runtime_threatrésultats. - Préserve les champs de processus, d'appel système et de conteneur sous
source.extra.output_fields. - Publie les résultats via l'API d'ingestion de la plateforme avec télémétrie du connecteur.
Conseils de déploiement
- Commencez dans les espaces de noms hors production pour définir le comportement de la charge de travail de base.
- Définissez la rétention et la rotation des alertes lors du transfert des fichiers d'événements exportés.
- Corrélez-vous avec les contrôles Kyverno et SIEM pour une couverture préventive et détective.