Realizando Forense Nativa da Nuvem com Falco

Quando Usar

• Ao conduzir avaliações de segurança que envolvam a realização de forense nativa da nuvem com Falco
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Familiaridade com conceitos e ferramentas de segurança em nuvem
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

Implante e gerencie regras do Falco para detecção de segurança em tempo de execução em ambientes conteinerizados. Analise alertas do Falco para resposta a incidentes.

# Custom Falco rule for detecting shell in container
- rule: Shell Spawned in Container
  desc: Detect shell process started in a container
  condition: >
    spawned_process and container
    and proc.name in (bash, sh, zsh, dash, csh)
    and not proc.pname in (docker-entrypo, supervisord)
  output: >
    Shell spawned in container
    (user=%user.name command=%proc.cmdline container=%container.name
     image=%container.image.repository)
  priority: WARNING
  tags: [container, shell, mitre_execution]

Regras de detecção chave:

1. Execução de shell em contêineres não interativos
2. Acesso a arquivos sensíveis (/etc/shadow, /etc/passwd)
3. Conexões de saída de contêineres inesperados
4. Escalada de privilégios via setuid/setgid
5. Fuga de contêiner via mount ou ptrace

Exemplos

# Run Falco with custom rules
falco -r /etc/falco/custom_rules.yaml -o json_output=true
# Parse JSON alerts
cat /var/log/falco/alerts.json | python3 -c "import json,sys; [print(json.loads(l)['output']) for l in sys.stdin]"