実行する

サービスとしてのFalcoを実行

deb もしくは rpmパッケージを使用してFalcoをインストールした場合は、サービスを開始することができます：

service falco start

あるいは、systemd の場合:

systemctl start falco

これは systemd-sysv-generator が init.d スクリプトを systemd ユニットにラップしているからです。

また、journalctlを使ってFalcoのログを見ることもできます。

journalctl -fu falco

手動でFalcoを実行する

手作業でFalcoを実行したい場合は、入力することでFalcoの完全な使用法の説明を見つけることができます：

falco --help

Dockerでの実行

Falcoは公式のdocker imagesのセットを提供しています。 イメージは以下の2つの方法で使用できます：

• 最少特権（推奨）
• 完全特権

最少特権（推奨）

このようにして、Falco ユーザスペースプロセスをコンテナ内で実行することができます。

カーネルモジュールがホストシステムに直接インストールされると、コンテナ内から使用することができます。

1. カーネルモジュールのインストール:

   • 公式のインストール方法をホスト上で直接使用することができます。
   • あるいは、特権コンテナを一時的に使用してホストにドライバをインストールすることもできます：

   docker pull falcosecurity/falco-driver-loader:latest
   docker run --rm -i -t \
       --privileged \
       -v /root/.falco:/root/.falco \
       -v /proc:/host/proc:ro \
       -v /boot:/host/boot:ro \
       -v /lib/modules:/host/lib/modules:ro \
       -v /usr:/host/usr:ro \
       -v /etc:/host/etc:ro \
       falcosecurity/falco-driver-loader:latest
   

falcosecurity/falco-driver-loader イメージは単に falco-driver-loader スクリプトをラップしているだけです。 その使用法についての詳細はこちらをご覧ください

2. Dockerを使ってコンテナ内のFalcoを最小特権の原則で実行する:

   docker pull falcosecurity/falco-no-driver:latest
   docker run --rm -i -t \
       --cap-add SYS_PTRACE --pid=host $(ls /dev/falco* | xargs -I {} echo --device {}) \
       -v /var/run/docker.sock:/var/run/docker.sock \
       falcosecurity/falco-no-driver:latest
   

docker info | grep -i apparmor

完全特権

Dockerを使ってコンテナでFalcoをフル権限で実行するには：

カーネルモジュールドライバでFalcoを使用する場合

docker pull falcosecurity/falco:latest
docker run --rm -i -t \
    --privileged \
    -v /dev:/host/dev \
    -v /proc:/host/proc:ro \
    -v /boot:/host/boot:ro \
    -v /lib/modules:/host/lib/modules:ro \
    -v /usr:/host/usr:ro \
    -v /etc:/host/etc:ro \
    falcosecurity/falco:latest

あるいは、eBPFプローブドライバを使用することもできます：

docker pull falcosecurity/falco:latest
docker run --rm -i -t \
    --privileged \
    -e FALCO_BPF_PROBE="" \
    -v /dev:/host/dev \
    -v /proc:/host/proc:ro \
    -v /boot:/host/boot:ro \
    -v /lib/modules:/host/lib/modules:ro \
    -v /usr:/host/usr:ro \
    -v /etc:/host/etc:ro \
    falcosecurity/falco:latest

その他の設定可能なオプション:

• DRIVER_REPO - ドライバのインストール を参照してください。
• SKIP_DRIVER_LOADER - この環境変数を設定することで、falcosecurity/falco イメージの起動時に falco-driver-loader を実行しないようにします。ドライバが既に他の方法でホストにインストールされている場合に便利です。

ホットリロード

これは、PIDを殺さずにFalcoの設定を再ロードし、エンジンを再起動します。これは、デーモンを殺さずに新しい設定変更を伝播させるのに便利です。

kill -1 $(cat /var/run/falco.pid)