performing-cloud-native-forensics-with-falco

Falco によるクラウドネイティブフォレンジックの実施

使用する場面

• Falco を使用したクラウドネイティブフォレンジックを伴うセキュリティ評価を実施する場合
• 関連するセキュリティインシデントのインシデント対応手順に従う場合
• 定期的なセキュリティテストや監査を実施する場合
• 実践的なテストを通じてセキュリティ制御を検証する場合

前提条件

• クラウドセキュリティの概念とツールに関する知識があること
• 安全に実行できるテスト環境またはラボ環境を利用できること
• 必要な依存関係をインストールした Python 3.8 以降
• テスト活動に必要な適切な権限があること

手順

コンテナ化された環境でランタイムセキュリティ検出を行うための Falco ルールをデプロイして管理します。インシデント対応のために Falco アラートを解析します。

# Custom Falco rule for detecting shell in container
- rule: Shell Spawned in Container
  desc: Detect shell process started in a container
  condition: >
    spawned_process and container
    and proc.name in (bash, sh, zsh, dash, csh)
    and not proc.pname in (docker-entrypo, supervisord)
  output: >
    Shell spawned in container
    (user=%user.name command=%proc.cmdline container=%container.name
     image=%container.image.repository)
  priority: WARNING
  tags: [container, shell, mitre_execution]

主な検出ルール：

1. 非対話型コンテナ内でのシェルの起動
2. 機密ファイル（/etc/shadow、/etc/passwd）へのアクセス
3. 想定外のコンテナからのアウトバウンド接続
4. setuid/setgid による権限昇格
5. mount または ptrace によるコンテナエスケープ

例

# Run Falco with custom rules
falco -r /etc/falco/custom_rules.yaml -o json_output=true
# Parse JSON alerts
cat /var/log/falco/alerts.json | python3 -c "import json,sys; [print(json.loads(l)['output']) for l in sys.stdin]"