目錄
前言1
第一部分 認(rèn)識(shí)Falco9
第1章 Falco簡(jiǎn)介11
1.1 Falco概覽11
1.2 Falco的設(shè)計(jì)原則15
1.3 你可以用Falco做什么18
1.4 你不能用Falco做什么18
1.5 Falco的歷史背景19
第2章 從本地環(huán)境開(kāi)始24
2.1 在本地環(huán)境上運(yùn)行Falco24
2.2 生成事件27
2.3 理解Falco的輸出30
2.4 自定義Falco實(shí)例32
2.5 小結(jié)35
第二部分 Falco的架構(gòu)37
第3章 深入理解Falco架構(gòu)39
3.1 Falco和Falco庫(kù)：數(shù)據(jù)流視圖41
3.2 驅(qū)動(dòng)程序42
3.3 插件43
3.4 libscap44
3.5 libsinsp47
3.6 規(guī)則引擎50
3.7 小結(jié)50
第4章 數(shù)據(jù)源51
4.1 系統(tǒng)調(diào)用51
4.2 捕獲系統(tǒng)調(diào)用58
4.3 Falco驅(qū)動(dòng)程序64
4.4 運(yùn)行Falco驅(qū)動(dòng)程序67
4.5 Falco插件69
4.6 小結(jié)72
第5章 數(shù)據(jù)擴(kuò)充73
5.1 理解系統(tǒng)調(diào)用的數(shù)據(jù)擴(kuò)充73
5.2 用插件進(jìn)行數(shù)據(jù)擴(kuò)充83
5.3 小結(jié)83
第6章 字段和過(guò)濾器84
6.1 什么是過(guò)濾器84
6.2 過(guò)濾語(yǔ)法參考86
6.3 字段88
6.4 使用字段和過(guò)濾器92
6.5 Falco的最有價(jià)值字段95
6.6 小結(jié)101
第7章 Falco規(guī)則102
7.1 Falco規(guī)則文件102
7.2 解析Falco規(guī)則文件104
7.3 替換、追加和禁用規(guī)則110
7.4 小結(jié)113
第8章 輸出框架114
8.1 Falco的輸出架構(gòu)114
8.2 輸出格式化116
8.3 輸出通道117
8.4 小結(jié)124
第三部分 運(yùn)行Falco125
第9章 安裝Falco127
9.1 選擇安裝方式127
9.2 直接在主機(jī)上安裝128
9.3 在容器中運(yùn)行Falco134
9.4 將Falco部署到Kubernetes集群139
9.5 小結(jié)142
第10章 配置和運(yùn)行Falco143
10.1 配置Falco143
10.2 不同安裝方式下Falco的差異144
10.3 命令行選項(xiàng)和環(huán)境變量145
10.4 配置文件151
10.5 規(guī)則集152
10.6 使用插件154
10.7 更改配置156
10.8 小結(jié)157
第11章 使用Falco實(shí)現(xiàn)云安全158
11.1 為什么要為AWS安全選擇Falco158
11.2 Falco的架構(gòu)和AWS安全159
11.3 配置和運(yùn)行CloudTrail插件161
11.4 擴(kuò)展Falco的AWS規(guī)則集167
11.5 其他云環(huán)境168
11.6 小結(jié)168
第12章 Falco事件169
12.1 Falco輸出169
12.2 可觀測(cè)性和分析174
12.3 獲取通知175
12.4 威脅響應(yīng)引擎176
12.5 小結(jié)177
第四部分 擴(kuò)展Falco179
第13章 編寫Falco規(guī)則181
13.1 自定義Falco的默認(rèn)規(guī)則181
13.2 編寫新規(guī)則182
13.3 編寫規(guī)則的注意事項(xiàng)189
13.4 小結(jié)193
第14章 Falco開(kāi)發(fā)194
14.1 使用代碼庫(kù)195
14.2 使用gRPC API擴(kuò)展Falco198
14.3 使用插件擴(kuò)展Falco199
14.4 小結(jié)208
第15章 如何做貢獻(xiàn)209
15.1 為Falco做貢獻(xiàn)的意義209
15.2 應(yīng)該從哪里開(kāi)始210
15.3 為Falcosecurity項(xiàng)目做貢獻(xiàn)210
15.4 小結(jié)214