Sicurezza durante l'esecuzione

Rilevamento delle minacce durante il runtime dei container e migrazione Falco

Sostituisci i daemonset Falco autonomi con lo scanner runtime eBPF nativo di BlackShield o importa eventi JSON/SARIF Falco esistenti durante la migrazione.

Migrazione e configurazione del runtime nativo

Impostato BLACKSHIELD_API_URL all'origine API, ad esempio https://api.blackshield.chaplau.com. Non utilizzare l'URL del dashboard della console. Durante la migrazione da una distribuzione Falco esistente, indirizza il raccoglitore al flusso JSONL/SARIF esportato:

BLACKSHIELD_API_URL=https://api.blackshield.chaplau.com
BLACKSHIELD_API_KEY=sp_xxx
RUNTIME_ALERTS_ENABLED=true
RUNTIME_ALERTS_FILE=/var/log/runtime_events.jsonl
RUNTIME_MAX_ALERTS_PER_SCAN=5000

Comportamento

  • Acquisisce nativamente le anomalie di runtime del kernel e del contenitore o importa esportazioni di eventi JSON/NDJSON/SARIF legacy durante la migrazione.
  • Normalizza gli avvisi in runtime_threat risultati.
  • Conserva i campi processo, chiamata di sistema e contenitore in source.extra.output_fields.
  • Pubblica i risultati tramite l'API di inserimento della piattaforma con la telemetria del connettore.

Guida all'implementazione

  • Inizia negli spazi dei nomi non di produzione per definire il comportamento del carico di lavoro.
  • Imposta la conservazione e la rotazione degli avvisi durante l'inoltro dei file di eventi esportati.
  • Correlare con i controlli Kyverno e SIEM per la copertura preventiva e investigativa.
Rilevamento delle minacce durante il runtime dei container e migrazione Falco