Segurança de tempo de execução

Detecção de ameaças em tempo de execução de contêiner e migração Falco

Substitua daemonsets Falco independentes pelo scanner de tempo de execução eBPF nativo do BlackShield ou importe eventos Falco JSON/SARIF existentes durante a migração.

Migração e configuração de tempo de execução nativo

Definir BLACKSHIELD_API_URL à origem da API, como https://api.blackshield.chaplau.com. Não use o URL do painel do console. Ao migrar de uma implantação existente do Falco, aponte o coletor para seu fluxo JSONL/SARIF exportado:

BLACKSHIELD_API_URL=https://api.blackshield.chaplau.com
BLACKSHIELD_API_KEY=sp_xxx
RUNTIME_ALERTS_ENABLED=true
RUNTIME_ALERTS_FILE=/var/log/runtime_events.jsonl
RUNTIME_MAX_ALERTS_PER_SCAN=5000

Comportamento

  • Captura anomalias de tempo de execução de kernel e contêiner nativamente ou importa exportações de eventos JSON/NDJSON/SARIF legados durante a migração.
  • Normaliza alertas em runtime_threat descobertas.
  • Preserva os campos de processo, syscall e contêiner em source.extra.output_fields.
  • Publica resultados por meio da API de ingestão da plataforma com telemetria do conector.

Orientação de implementação

  • Comece em namespaces que não sejam de produção para definir o comportamento da carga de trabalho como base.
  • Defina a retenção e rotação de alertas ao encaminhar arquivos de eventos exportados.
  • Correlacione-se com os controles Kyverno e SIEM para cobertura preventiva e de detetive.
Detecção de ameaças em tempo de execução de contêiner e migração Falco