K8S运行时安全监控-falco

 部署测试：

kubectl create ns falco
wget https://github.com/falcosecurity/charts/releases/download/falco-3.8.7/falco-3.8.7.tgz

部署：debug 查看详细输出，部署时去掉--dry-run --debug

helm -n falco install falco ./falco-3.8.7.tgz --set falco.jsonOutput=true --set falco.json_output=true --set falco.http_output.enabled=true --set falco.http_output.url=http://falco-falcosidekick:2801/ --set falcosidekick.enabled=true --set falcoctl.artifact.install.enabled=false --set falcoctl.artifact.follow.enabled=false --dry-run --debug

模拟测试# 用nc启动一个webhook模拟服务端(可选项)

yum -y install netcat 
nc -l 6666
然后将地址进行base64加密得到下方的字符串

# 配置 falcosidekick 报警输出的 webhook 地址:
kubectl -n falco edit secrets falco-falcosidekick
  #在下面配置(内容是base64编码 http://10.0.1.201:6666)---命令--echo -n "http://127.0.0.1:6666" | base64
  WEBHOOK_ADDRESS: aHR0cDovLzEwLjAuMS4yMDE6NjY2Ng==

#修改完成后重启pod 
kubectl delete po -n falco --all

 

 

卸载：

helm -n falco uninstall falco