Detectando Ameaças de Runtime de Contêiner com Falco

Visão Geral

Falco é o projeto de segurança de runtime graduado da CNCF (originalmente da Sysdig) que consome chamadas de sistema do kernel Linux e eventos de auditoria do Kubernetes através de um driver, avalia-os contra um mecanismo de regras YAML e emite alertas em tempo real. É a ferramenta de detecção open-source de fato para ameaças de runtime dentro de contêineres, incluindo escape de contêiner (MITRE ATT&CK T1611, Escape para o Host), manipulação de namespace (setns), montagens privilegiadas, shells reversos e conexões de saída inesperadas.

Falco suporta três drivers: a sonda eBPF moderna (padrão preferencial, requer kernel >= 5.8, enviada diretamente dentro do binário Falco, então nenhum contêiner init é necessário), a sonda eBPF legada e o módulo do kernel (kmod). A seleção do driver é tratada por falcoctl driver config --type {kmod|ebpf|modern_ebpf} ou driver.kind=modern_ebpf no Helm chart. No Kubernetes, Falco roda como um DaemonSet para que cada nó seja monitorado, e falcoctl instala e atualiza automaticamente artefatos de regras do registro de regras Falco.

Esta habilidade cobre a autoria e implantação de regras Falco personalizadas para detectar os primitivos de escape de contêiner e sinais de comportamento anômalo que as técnicas de fuga nesta coleção produzem. Cada regra Falco tem os campos rule, desc, condition, output, priority e, opcionalmente, tags; a lógica reutilizável é fatorada em objetos macro e list. Fonte: documentação oficial falco.org; repositório falcosecurity/rules; pesquisa de detecção Falco da Sysdig (por exemplo, CVE-2025-22224).

Quando Usar

• Construindo detecções de runtime para um ambiente Kubernetes ou Docker
• Validando que tentativas de escape de contêiner e movimento lateral geram alertas (purple-team)
• Adicionando cobertura para um CVE de runtime recém-divulgado
• Fortalecendo o pipeline de telemetria de contêiner de um SOC (Falco -> Falcosidekick -> SIEM)

Pré-requisitos

• Um host Linux (kernel >= 5.8 para eBPF moderno) ou cluster Kubernetes que você administra
• Instalação do Falco:

  # Helm (Kubernetes, modern eBPF, JSON output for SIEM ingest)
  helm repo add falcosecurity https://falcosecurity.github.io/charts
  helm repo update
  helm install falco falcosecurity/falco \
    --namespace falco --create-namespace \
    --set driver.kind=modern_ebpf \
    --set collectors.containerd.enabled=true \
    --set falco.json_output=true \
    --set tty=true
  
  # Linux package install (Debian/Ubuntu)
  curl -fsSL https://falco.org/repo/falcosecurity-packages.asc | \
    sudo gpg --dearmor -o /usr/share/keyrings/falco-archive-keyring.gpg
  echo "deb [signed-by=/usr/share/keyrings/falco-archive-keyring.gpg] \
    https://download.falco.org/packages/deb stable main" | \
    sudo tee /etc/apt/sources.list.d/falcosecurity.list
  sudo apt-get update -y && sudo apt-get install -y falco
  

• Familiaridade básica com campos Falco (evt.type, proc.name, container.id, fd.name)

Objetivos

• Instalar Falco com o driver eBPF moderno
• Entender o esquema de regras/macros/listas e os campos de filtro chave do Falco
• Autorar regras personalizadas para escape de contêiner, setns, montagens privilegiadas, leituras de arquivos sensíveis e shells reversos
• Carregar regras personalizadas e validar a sintaxe
• Disparar e confirmar detecções (validação purple-team)
• Encaminhar alertas para um SIEM via Falcosidekick

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

Passo 1: Instalar Falco e Confirmar o Driver

# Kubernetes: confirm the DaemonSet is running on every node
kubectl get pods -n falco -o wide
kubectl logs -n falco -l app.kubernetes.io/name=falco | grep -i "driver"

# Linux host: configure driver and start
sudo falcoctl driver config --type modern_ebpf
sudo systemctl enable --now falco-modern-bpf.service
sudo systemctl status falco-modern-bpf.service

Passo 2: Aprender o Esquema de Regras, Macros e Listas

Regras personalizadas vivem em /etc/falco/falco_rules.local.yaml ou /etc/falco/rules.d/, referenciadas a partir de rules_files em /etc/falco/falco.yaml.

# /etc/falco/rules.d/custom-escape.yaml
- list: shell_binaries
  items: [bash, sh, zsh, dash, ash, ksh]

- macro: spawned_process

…