런타임 탐지, 당신의 컨테이너를 위해.
멀티 엔진 런타임 탐지: Falco(컨테이너/Kubernetes/Linux 행위 탐지, ATT&CK Containers 매핑) + Tetragon(eBPF, 커널 레벨에서 탐지하고 차단), 그리고 클라우드 감사(Kubernetes audit, AWS CloudTrail, Okta, GCP). 각 규칙은 자체 엔진에서 검증; 자체 제작 규칙 + 허용적 라이선스의 오픈소스 생태계.
What we added recently
A living feed: here is the coverage added to it, dated.
- +83 règles
- +78 règles
컨테이너에서 중요한 런타임 악용.
컨테이너 내부에서 실행되는 마이닝 바이너리(T1496).
nsenter/unshare/mount 및 호스트로 탈출하는 도구(T1611).
K8s 토큰, /etc/shadow, SSH 키 읽기(T1552).
cron/systemd/ld.so.preload 쓰기, 커널 모듈, setuid(T1543/T1547).
대화형 셸, netcat/reverse-shell, 런타임 패키지 매니저(T1059/T1195).
네트워크 정찰 도구와 컨테이너 관리 명령(T1046/T1609).
Kubernetes audit, AWS CloudTrail, Okta, GCP, GitHub, Falco plugin을 통해(각 ruleset은 해당 plugin 필요).
Sigma 표준의 클라우드 탐지(AWS CloudTrail, GCP audit)를 Falco 규칙으로 번역: 두 엔진이 동일한 JSON 레코드를 읽으므로 탐지 로직이 보존되며, 변환된 모든 규칙은 납품 전 실제 Falco 엔진에서 검증됩니다.
Runtime: 자체 제작 규칙(ATT&CK Containers) + 오픈소스 Falco 규칙 생태계(Apache 2.0), 실제 엔진에서 검증. Cloud: Falco plugin의 공식 ruleset(k8saudit, cloudtrail, okta, gcpaudit), 해당 plugin과 함께 로드.
단순한 YAML이 아니라 실제 엔진에서 검증.
Falco 규칙은 실제 엔진에서 `falco --validate`를 통과하고, Tetragon 정책은 공식 CRD 스키마(쿠버네티스 API가 admission에서 강제하는 바로 그것)로 검증됩니다. 로드 시 문제가 없습니다.
우리가 직접 제작한 규칙으로, 공개 저장소의 단순 미러가 아닙니다.
팩에는 커버리지 인덱스(전술·기법·엔진·플랫폼별)와 바로 로드할 수 있는 번들(컨테이너 탈출, 자격 증명 접근, Kubernetes 런타임, 클라우드 감사)이 함께 제공됩니다. YAML 더미가 아니라, 무엇을 커버하는지에 대한 지도를 받게 되며 커버하지 못하는 부분도 함께 집계됩니다.
오픈소스 Falco 업스트림은 Apache 2.0으로 각자의 라이선스로 재배포 가능합니다(저작자 표시 유지). 당사의 자체 Falco 규칙과 큐레이션된 팩은 독점으로 유지됩니다(EULA, 구독 조직 사용).
피드는 서명되어 있으며, 로드하기 전에 무결성을 검증할 수 있습니다.
하나의 구독으로, 연구와 새로운 기법이 등장할 때마다 업데이트.
어떤 Falco 버전과 호환되나요?
규칙은 최신 엔진 버전(required_engine_version)을 대상으로 하며 최신 공식 Falco 이미지에서 검증됩니다. `falco -r <파일>.yaml` 또는 falco.yaml의 `rules_files`로 로드하세요.
Falco Feeds(Sysdig)와 어떻게 다른가요?
동일한 오픈소스 Falco 엔진입니다. 우리의 강점: 자체 제작·검증하고 ATT&CK Containers에 매핑한 규칙을 Apache 생태계와 집계하여 하나의 키로 서명해 제공, 중소기업 가격에 제공. Apache 업스트림은 각자의 라이선스로 재배포 가능하지만, 당사의 자체 규칙과 편집물은 독점(EULA)입니다.
어떤 소스와 라이선스인가요?
당사의 자체 Falco 규칙(독점)에 오픈소스 Falco 규칙 생태계(Apache 2.0)를 더합니다. Apache 업스트림은 각자의 라이선스로 재배포 가능하며 팩 안에 저작자 표시를 보존합니다. 당사의 자체 규칙과 큐레이션된 편집물은 독점으로 유지되며(EULA, 구독 조직의 사용), 팩 자체를 그대로 재판매하거나 재배포할 수 없습니다.
컨테이너를 감시할 준비가 되셨나요?
연간 구독. 즉시 발급되는 키. 언제든 해지 가능.