第30关 k8s容器运行时安全监控 - Falco

------> 课程视频同步分享在今日头条和B站

大家好，我是博哥爱运维。

我们前面讲到prometheus监控、K8S集群事件监控kube-eventer，这些都只是资源使用层面上的监控，对于集群的安全层面监控，我们也需要做好监控手段，避免类似黑客木马入侵事件发生。

这节课博哥给大家带来Falco

• Falco是什么:一个容器和Kubernetes的运行时安全监控工具
• Falco的主要功能:实时检测异常活动和配置问题,输出警报

https://falco.org/zh-cn/docs/

部署文档

# helm3 install(可选项)
helm repo add falcosecurity https://falcosecurity.github.io/charts
helm repo update

# 创建namespace
kubectl create ns falco

# 下载好离线 helm chart包
wget https://github.com/falcosecurity/charts/releases/download/falco-3.8.7/falco-3.8.7.tgz

# 一键式helm命令安装Falco
# 正式安装需要去掉  --dry-run --debug
helm -n falco install falco ./falco-3.8.7.tgz --set falco.jsonOutput=true --set falco.json_output=true --set falco.http_output.enabled=true --set falco.http_output.url=http://falco-falcosidekick:2801/ --set falcosidekick.enabled=true --set falcoctl.artifact.install.enabled=false --set falcoctl.artifact.follow.enabled=false --dry-run --debug


# 用nc启动一个webhook模拟服务端(可选项)
nc -l 6666

# 配置 falcosidekick 报警输出的 webhook 地址:
kubectl -n falco edit secrets falco-falcosidekick
  #在下面配置(内容是base64编码 http://10.0.1.201:6666)
  WEBHOOK_ADDRESS: aHR0cDovLzEwLjAuMS4yMDE6NjY2Ng==

# 卸载
helm -n falco uninstall falco