Falco en Producción · Lección 07
¿Qué campo de una syscall se usa típicamente en la condición de una regla personalizada para verificar qué comando se está ejecutando?
proc.name (el nombre del proceso ejecutado)
k8s.pod.creation_timestamp, la fecha de creación del Pod
container.image.tag exclusivamente, sin ningún otro campo relacionado con el proceso
user.uid únicamente, sin considerar el nombre del proceso
Falco en Producción · Lección 07
Completa el código
- rule: mi regla
condition: spawned_process and proc.name =
Revisa: por ejemplo, proc.name = "bash".
Falco en Producción · Lección 07
¿Por qué escribir una regla personalizada que combine proc.name con container.id permite detectar un comando específico ejecutándose únicamente dentro de contenedores, y no en el propio nodo host?
Pista: combinar ambas condiciones asegura que la alerta solo dispare cuando ese comando específico ocurra dentro de un contenedor, distinguiendo ese contexto del proceso normal ejecutándose directamente en el host.
✓
¡Lección completada!
Escritura de reglas personalizadas
0
XP ganado
3
Vidas restantes