DevSecOps Talks

Привет!

В tutorial разобран пример анализа событий, генерируемых Audit Policy k8s, по следующей схеме:

🍭 В качестве Backend выбираем Log Backend
🍭 Разворачиваем FluentBit, который будет выполнять функцию log forwarder: "забирать" из Log Backend и "направлять" в Falco
🍭 Разворачиваем Falco с Falcosidekick-UI, которые будут собирать логи, анализировать их (используемые проверки, более подробная информация) и отображать результаты в web-интерфейсе

В статье приведены все необходимые команды и ссылки для самостоятельного воспроизведения в demo-окружении.

В завершении представлен PoC на примере правила «Create/Modify Configmap With Private Credentials»: создаем ConfigMap, это порождает событие в Audit Log, которое забирает FluentBit и передает в Falco. Срабатывает правило, результат отображается в web-интерфейсе

Falco

Detect Malicious Behaviour on Kubernetes API Server through gathering Audit Logs by using FluentBit - Part 2

Introduction In the previous blog post, we had talked about the Audit Logs in more detail, this post is a continuation of the previous blog post, so I suggest you take a look at the previous blog post before continuing reading. The only difference in this…

www.tgoop.com/devsecops_weekly/290

668 viewsAug 24, 2021 at 06:42

Привет!

В tutorial разобран пример анализа событий, генерируемых Audit Policy k8s, по следующей схеме:

🍭 В качестве Backend выбираем Log Backend
🍭 Разворачиваем FluentBit, который будет выполнять функцию log forwarder: "забирать" из Log Backend и "направлять" в Falco
🍭 Разворачиваем Falco с Falcosidekick-UI, которые будут собирать логи, анализировать их (используемые проверки, более подробная информация) и отображать результаты в web-интерфейсе

В статье приведены все необходимые команды и ссылки для самостоятельного воспроизведения в demo-окружении.

В завершении представлен PoC на примере правила «Create/Modify Configmap With Private Credentials»: создаем ConfigMap, это порождает событие в Audit Log, которое забирает FluentBit и передает в Falco. Срабатывает правило, результат отображается в web-интерфейсе

BY DevSecOps Talks