容器运行时威胁检测和 Falco 迁移

迁移和本机运行时配置

套装 BLACKSHIELD_API_URL 到 API 来源，例如 https://api.blackshield.chaplau.com。不要使用控制台仪表板 URL。从现有 Falco 部署迁移时，将收集器指向导出的 JSONL/SARIF 流：

BLACKSHIELD_API_URL=https://api.blackshield.chaplau.com
BLACKSHIELD_API_KEY=sp_xxx
RUNTIME_ALERTS_ENABLED=true
RUNTIME_ALERTS_FILE=/var/log/runtime_events.jsonl
RUNTIME_MAX_ALERTS_PER_SCAN=5000

行为

• 本地捕获内核和容器运行时异常或在迁移期间导入旧版 JSON/NDJSON/SARIF 事件导出。
• 将警报标准化为 runtime_threat 发现。
• 保留进程、系统调用和容器字段 source.extra.output_fields.
• 通过带有连接器遥测的平台摄取 API 发布结果。

推出指导

• 从非生产命名空间开始，确定工作负载行为的基准。
• 转发导出的事件文件时设置警报保留和轮换。
• 与 Kyverno 和 SIEM 控制相关联，以实现预防性和侦探性覆盖。