移行とネイティブ ランタイム構成
セット BLACKSHIELD_API_URL API オリジンへの送信など https://api.blackshield.chaplau.com。コンソール ダッシュボード URL は使用しないでください。既存の Falco デプロイメントから移行する場合は、エクスポートされた JSONL/SARIF ストリームをコレクターに指定します。
BLACKSHIELD_API_URL=https://api.blackshield.chaplau.com BLACKSHIELD_API_KEY=sp_xxx RUNTIME_ALERTS_ENABLED=true RUNTIME_ALERTS_FILE=/var/log/runtime_events.jsonl RUNTIME_MAX_ALERTS_PER_SCAN=5000
行動
- カーネルとコンテナのランタイム異常をネイティブにキャプチャするか、移行中にレガシー JSON/NDJSON/SARIF イベント エクスポートをインポートします。
- アラートを次のように正規化します
runtime_threat発見。 - プロセス、システムコール、およびコンテナフィールドを保存します。
source.extra.output_fields. - コネクタ テレメトリを使用して、プラットフォーム インジェスト API を通じて結果を公開します。
展開ガイダンス
- ワークロード動作のベースラインを設定するには、非運用名前空間から始めます。
- エクスポートされたイベント ファイルを転送する際のアラートの保持とローテーションを設定します。
- Kyverno および SIEM コントロールと関連付けて、予防および検出をカバーします。