O Sysdig —инструменте для трассировки ядра — мы рассказывали два года назад. Совсем недавно, в мае этого года, разработчики Sysdig представили ещё один интересный продукт: систему обнаружения аномалий Falco.

Falco состоит из двух основных компонентов: модуля ядра sysdig_probe (на базе которого работает и Sysdig) и демона, записывающего собранную информацию на диск.

На основе заданных пользователем правил Falco следит за работой приложений и при обнаружении аномалий пишет информацию в стандартный вывод, syslog или указанный пользователем файл. Разработчики в своём блоге шутя называют Falco «гибридом snort, ossec и strace» и позиционируют его как простую IDS, почти не создающую нагрузки на систему.

Мы бы кратко охарактеризовали Sysdig Falco несколько иначе: это инструмент аудита с расширенными возможностями. Он может отслеживать те же события, что и подсистема аудита Linux — но не только. Вот далеко не полный список:

• запуск командной оболочки внутри контейнера;
• запись в каталог /dev файлов, не имеющих никакого отношения к устройствам (так делают, например, некоторые руткиты);
• нетипичные сетевые подключения, инициируемые приложениями;
• попытки изменения файлов в критически важных директориях — например, /etc/passwd;
• нетипичные события в работе отдельных приложений.

Falco сам по себе не обеспечивает никакой защиты, а лишь собирает информацию о системных событиях, соответствующих заданным условиям. На основании этой информации можно сделать определённые выводы и в случае необходимости принять дополнительные меры.

Установка

Прежде чем устанавливать Falco, нужно добавить соответствующий репозиторий (здесь и далее все примеры команд приводятся для ОС Ubuntu 16.04):

$ curl -s https://s3.amazonaws.com/download.draios.com/DRAIOS-GPG-KEY.public | apt-key add -
$ curl -s -o /etc/apt/sources.list.d/draios.list http://download.draios.com/stable/deb/draios.list
$ sudo apt-get update

Также нам понадобится установить заголовки ядра:

$ sudo apt-get -y install linux-headers-$(uname -r)

После этого установим Falco и добавим в ядро модуль sysdig_probe:

$ sudo apt-get -y install falco
$ modprobe sysdig-probe

На этом установка завершена. После этого Falco можно запускать:

$ sudo service falco start

Информация обо всех обнаруженных событиях будет записываться в syslog. Можно запускать Falco и в интерактивном режиме:

$ falco

Вся информация о подозрительных событиях будет тут же записываться в стандартный вывод.
Настроек и правил по умолчанию для начала работы будет более чем достаточно.
В файле /еtc/falco_rules.yaml уже прописаны правила на все случаи жизни. Имеются даже готовые правила для самых разных приложений и служб: MySQL, MongoDB,CouchDB, Fluentd, Elasticsearch и других.

При необходимости вы всегда можете изменить существующие правила и даже добавить новые. Рассмотрим структуру конфигурационных файлов Falco более подробно.

Базовые настройки

Базовые настройки Falco хранятся в файле /etc/falco.yaml. По умолчанию он выглядит так:

# File containing Falco rules, loaded at startup.
rules_file: /etc/falco_rules.yaml

# Whether to output events in json or text
json_output: false

# Send information logs to stderr and/or syslog Note these are *not* security
# notification logs! These are just Falco lifecycle (and possibly error) logs.
log_stderr: true
log_syslog: true

# Where security notifications should go.
# Multiple outputs can be enabled.

syslog_output:
  enabled: true

file_output:
  enabled: false
  filename: ./events.txt

stdout_output:
  enabled: true

program_output:
  enabled: false
  program: mail -s "Falco Notification" someone@example.com

Как видим, здесь указано, в какой файле хранятся правило, в каком формате следует представлять вывод (plain text или json) и куда следует записывать информацию об обнаруженных аномалиях. Falco может писать сообщения в стандартный вывод, в syslog, а также в указанный пользователем текстовый файл.

Правила и их синтаксис

В файле /etc/falco_rules.yaml содержатся правила, указывающие, на какие именно особенности в поведении системы Sysdig Falco должен обратить особое внимание. Вот фрагмент этого файла:

 - rule: write_etc
  desc: an attempt to write to any file below /etc, not in a pipe installer session
  condition: write_etc_common and not proc.sname=fbash
  output: "File below /etc opened for writing (user=%user.name command=%proc.cmdline file=%fd.name)"
  priority: WARNING

Здесь всё просто и понятно: правило указывает, что Falco должно информировать о любой попытке открытия любого файл в директории /etc на запись (за исключением случаев, когда файлы в /etc создаются при установке программ.

Каждое правило состоит из следующих полей:

• desc — описание правила в произвольной форме;
• condition — условие, при котором правило срабатывает (для написания условий используется стандартный синтаксис Sysdig; подробнее см. в официальной документации), а также в нашей статье);
• output — вывод, который будет выводится при срабатывании правила;
• prioriry — приоритет (INFO, WARNING, ALERT, DEBUG, CRITICAL).

Посмотрим, как работает это правило. Запустим Falco в режиме «живого наблюдения»:

$ falco

В другом терминале попробуем открыть какой-нибудь файл в директории /etc. Мы увидим, что в стандартный вывод тут же посыплются сообщения вида:

12:43:52.640375428: Warning File below /etc opened for writing (user=useri command=nano /etc/default/grub file=/etc/default/.grub.swp)
12:43:52.640973730: Warning File below /etc opened for writing (user=useri command=nano /etc/default/grub file=/etc/default/grub)

Если мы остановим Falco нажатием клавиш Ctrl+C, на консоль будет выведена краткая сводка обо всех обнаруженных событиях:

Events detected: 2
Rule counts by severity:
   Error: 0
   Warning: 2
   Informational: 0
Triggered rules by rule name:
   write_etc: 2

Рассмотрим ещё один пример и покажем, как можно использовать Falco для аудита системных событиях в контейнерах.

Наблюдаем за контейнером

Sysdig Falco хорошо подходит для наблюдения за тем, что происходит внутри контейнеров. Посмотрим, как это работает.

Создадим Docker-контейнер:

$ docker pull:ubuntu 14.04

После этого добавим дополнительное правило в /etc/falco_rules.yaml (пример взят отсюда):

- rule: system_binaries_network_activity_container
desc: any network activity performed by system binaries that are not expected to send or receive any network traffic in a container
condition: ((inbound or outbound) and (fd.sockfamily = ip)) and fd.name != '' and container
output: "Suspicious binary sent/received network traffic from container=%container.id (user=%user.name command=%proc.cmdlin
e connection=%fd.name type=%evt.type)"
priority: WARNING

Сохраним внесённые изменения и перезапустим Falco. После этого войдём в контейнер:

$ docker run --rm -it ubuntu:14.04 /bin/bash

Выполним уже в контейнере команду:

$ ping ya.ru

На основном хосте в syslog появяется следующие сообщения:

16:08:56.944164593: Warning Suspicious binary sent/received network traffic from container=0b86d8efdf0a (user=root command=ping ya.ru connection=172.17.0.2:47776->123.45.67.89:53 type=connect)
16:08:56.945398068: Warning Suspicious binary sent/received network traffic from container=0b86d8efdf0a (user=root command=ping ya.ru connection=172.17.0.2:38643->123.45.67.89:1025 type=connect)

Они содержат id контейнера, имя пользователя и команду, в результате которой было инициировано сетевое соединение.

Заключение

Sysdig Falco — инструмент интересный и перспективный. Он обладает теми же преимуществами, что и Sysdig: гибкость, удобный синтаксис правил, человекопонятная форма выводов. С его помощью можно получать много ценной информации о работе системы, которую невозможно получить с помощью других инструментов.
Если вы уже используете Falco на практике, приглашаем поделиться опытом в комментариях.

В заключение приводим подборку полезных ссылок для желающих узнать больше:

• https://github.com/draios/falco — официальный репозиторий Falco на GitHub;
• https://github.com/draios/falco/wiki — официальная документация Falco;
• https://sysdig.com/blog/tag/falco/ — серия статей о Falco в блоге компании Draios;
• https://www.youtube.com/watch?v=flcu2Mz9bpo — обзорная лекция о Sysdig Falco.

Если вы по тем или иным причинам не можете оставлять комментарии здесь — добро пожаловать в наш корпоративный блог.