[SCSK 엔지니어의 블로그] ~ Falco 초보자에게 보내기 ~ 슬롯 사이트 추천 Sage ②

안녕하세요 여러분!
이것은 17 번째 에피소드를 담당하는 Kawasugi입니다. 이것은 슬롯 사이트 추천 Sage와 함께 Let 's Prood Falco의 속편입니다.

리뷰

나는 이전 블로그에서 FALCO를 소개하고 Falco가 종종 초보자에게 어려운 이유에 대한 다음 고려 사항을 소개했습니다.

• Falco 문서에 대한 최신 정보는 영어로되어 있습니다
• 설정할 수있는 필드가 많이 있습니다
• 학습을위한 큰 정보 (규칙을 만드는 방법에 중점을 둔 정보는 거의 없습니다)

이전 블로그는 슬롯 사이트 추천 Sage가 이러한 문제를 얼마나 잘 해결할 수 있는지 알아보기위한 것입니다. 슬롯 사이트 추천 Sage는 최근에 출시 된 Sysdig Generation AI 기능으로 일본어를 지원하며 SysDig가 제공하는 FALCO 규칙의 내용과이를 작성하는 방법에 대한 통찰력을 제공합니다.
소개 된 실제 내용은 사용 사례 1을 확인할 수있는 것입니다.

① FALCO 규칙의 탐지 조건에 대한 세부 사항을 확인하고 싶습니다
② 특정 조건을 충족하는 FALCO 규칙을 만드는 방법을 알고 싶습니다

이번에는사용 사례 2 : 특정 조건과 일치하는 FALCO 규칙을 만드는 방법을 알고 싶습니다에서 슬롯 사이트 추천 Sage를 사용하는 방법을 보여 드리겠습니다.

준비

• 생성 된 규칙 (Kubernetes 또는 Linux)의 탐지 및 확인을 확인하기 위해 슬롯 사이트 추천 에이전트가 설치된 노드

*이번에는 Linux 서버에서 Sysdig 에이전트를 만들어 확인했습니다.

시도해 봅시다

이제 시도해 봅시다.
sysdig에 로그인하고 슬롯 사이트 추천 Sage 채팅 화면을 엽니 다.
이번에는 Nginx 디렉토리 (/etc/nginx/conf.d) 아래 파일을 조작하는 것을 감지하는 시나리오에서 FALCO 규칙을 작성합시다.
먼저, 다음을 물어 보자 :

다음 결과가 반환되었습니다.

FALCO 규칙을 작성하는 예와 조건 조항에 대한 세부 사항을 말해줍니다. 당신이 감지하려는 Falco 규칙 인 것 같습니다.
그냥 확실하게, 출력 내용의 구문 오류를 확인하도록 요청합시다.

구문 오류가없는 것 같습니다.

우리에게 가르쳐 준 Falco 규칙을 시도해 봅시다.
Sage가 가르쳐 준 규칙에 따라 Falco 규칙을 만듭니다.

다음, 탐지 정책을 작성하십시오.

지금 준비되었습니다.
실제로 파일을 편집합시다.
이 테스트에는 /etc/nginx/conf.d에서 hogehoge.conf라는 파일이 있습니다.

[root@ conf.d]# pwd

vim 명령으로 편집 해 보겠습니다.

[root@ conf.d]# vi hogehoge.conf

편집, 슬롯 사이트 추천에서 이벤트가 감지되었습니다.
아래 이미지에 표시된대로 VIM 명령 (아래 파란색 프레임)을 사용하여 파일을 편집 한 것으로 감지되었습니다.

Sage를 사용하여 생성하려는 Falco 규칙의 예를 제시 할 수 있다면 감사하겠습니다. 또한 작성한 예제에 대한 자세한 정보를 제공하므로 더 빨리 공부하는 데 도움이됩니다. 그러나 나에게 제공된 정보는 출력 조항과 같은 많은 정보가 아니 었으므로 실제 프로덕션에서 사용할 수있는 몇 가지 수정이 더 많을 것 같습니다.

마지막

이 기사는 슬롯 사이트 추천 Sage를 사용하여 Falco에 대한 이해를 심화시키는 데 사용되었습니다. Falco 규칙을 만드는 데 도움이되기 때문에 고무적입니다.
다른 기회를 위해 뵙겠습니다!

담당자 소개