Falcosidekick 使用指南

Falcosidekick 使用指南

falcosidekick Connect Falco to your ecosystem 项目地址: https://gitcode.com/gh_mirrors/fa/falcosidekick

1. 项目介绍

Falcosidekick 是一个开源项目，它是 Falco 的一个简单守护进程，用于将 Falco 事件转发到不同的输出中，以实现扇出方式。它可以作为一个单一端点，供多个 Falco 实例使用。

2. 项目快速启动

使用 Docker

首先，您需要拉取 Falcosidekick 的 Docker 镜像：

docker pull falcosecurity/falcosidekick

然后，您可以运行一个容器实例，并设置环境变量以配置输出：

docker run -d -p 2801:2801 -e SLACK_WEBHOOKURL=您的SlackWebhookURL -e DATADOG_APIKEY=您的DatadogAPIKey falcosecurity/falcosidekick

确保替换 您的SlackWebhookURL 和 您的DatadogAPIKey 为实际的 Webhook URL 和 API Key。

使用 systemd

1. 下载最新版本的 Falcosidekick：

VER=$(curl --silent -qI https://github.com/falcosecurity/falcosidekick/releases/latest | awk -F'/' '/location/ {print substr($NF, 1, length($NF)-1)}')
wget -c https://github.com/falcosecurity/falcosidekick/releases/download/${VER}/falcosidekick_${VER}_linux_amd64.tar.gz -O - | tar -xz

2. 将 Falcosidekick 移动到 /usr/local/bin/ 并赋予执行权限：

chmod +x falcosidekick
sudo mv falcosidekick /usr/local/bin/

3. 创建 /etc/falcosidekick/config.yaml 配置文件。

4. 创建 systemd 服务文件 /etc/systemd/system/falcosidekick.service：

[Unit]
Description=Falcosidekick
After=network.target
StartLimitIntervalSec=0

[Service]
Type=simple
Restart=always
RestartSec=1
ExecStart=/usr/local/bin/falcosidekick -c /etc/falcosidekick/config.yaml

[Install]
WantedBy=multi-user.target

5. 重新加载 systemd 并启动 Falcosidekick：

sudo systemctl daemon-reload
sudo systemctl enable falcosidekick
sudo systemctl start falcosidekick

6. 检查 Falcosidekick 是否正在运行：

curl localhost:2801/healthz

3. 应用案例和最佳实践

• 日志管理：将 Falco 的日志发送到 Elasticsearch 或 Loki，以便进行集中存储和查询。
• 实时监控：通过 Prometheus 或 Wavefront 进行实时监控，以实现对 Falcosidekick 性能的即时反馈。
• 告警通知：集成 AlertManager 或 Opsgenie，以便在检测到异常行为时发送告警。

4. 典型生态项目

• Falco：Falcosidekick 是 Falco 的一个重要组成部分，用于扩展 Falco 的输出能力。
• Kubernetes：在 Kubernetes 环境中部署 Falcosidekick，可以实现对集群内部安全事件的集中处理。
• Prometheus：通过 Prometheus 可以监控 Falcosidekick 的性能指标，帮助维护系统的稳定性。

falcosidekick Connect Falco to your ecosystem 项目地址: https://gitcode.com/gh_mirrors/fa/falcosidekick