Falco en Producción · Lección 08
¿Para qué se usa una 'macro' en la sintaxis de reglas de Falco?
Definir una condición reutilizable con un nombre descriptivo, que luego puede referenciarse desde múltiples reglas distintas sin repetir la lógica completa
Eliminar automáticamente eventos que coincidan con esa condición
Cifrar automáticamente el contenido de los eventos detectados
Solo puede usarse dentro de una única regla específica, sin poder reutilizarse en otras
Falco en Producción · Lección 08
Completa el código
- macro: spawned_process
condition:
Revisa: por ejemplo, condition: evt.type = execve.
Falco en Producción · Lección 08
¿Por qué usar una macro común como 'spawned_process' en varias reglas distintas es más mantenible que repetir la misma condición larga en cada regla individual?
Pista: si esa condición necesita ajustarse en el futuro, basta con actualizar la macro una sola vez en vez de modificar la misma lógica repetida en cada regla individual que la usaba.
✓
¡Lección completada!
Macros y listas reutilizables
0
XP ganado
3
Vidas restantes