使用FalcoSideKick扩展Falco的输出
默认情况下，Falco的事件有5个输出：stdout、file、GRPC、shell和http。如下图所示：
即使它们很方便，我们也可能很快被限制到只能将Falco与其他组件集成在一起。falcosidekick可以来帮忙。这是一个小守护进程，它扩展了可能的输出。
当前可用的falcosidekick输出列表（版本2.13.0）为：
- Slack
- Rocketchat
- Mattermost
- Teams
- Datadog
- AlertManager
- Elasticsearch
- Loki
- NATS
- Influxdb
- AWS Lambda
- AWS SQS
- SMTP (email)
- Opsgenie
- Webhook
除此之外，它还提供有关事件数量的指标，并允许你在事件中添加自定义字段，例如环境、区域等。
在本文中，我们将看到如何将其在Kubernetes集成Falco和Helm（版本3）。有关安装Falco和Helm的信息，请参阅社区chart：
kubectl -n falco get pods
NAME READY STATUS RESTARTS AGE
falco-562mb 1/1 Running 0 3m10s
falco-pvl27 1/1 Running 0 3m10s
falco-d4mgr 1/1 Running 0 3m10s在本教程中，我们将在Slack频道中发送事件，因此先获取你的WebHook URL（https：//...）。
下载falcosidekick的helm chart：
git clone https://github.com/falcosecurity/falcosidekick.git
cd falcosidekick/deploy/helm/falcosidekick安装falcosidekick：
helm install falcosidekick . --namespace falco --set config.slack.webhookurl="https://hooks.slack.com/services/XXXX"kubectl -n falco get pods
NAME READY STATUS RESTARTS AGE
falco-562mb 1/1 Running 0 65m
falco-pvl27 1/1 Running 0 65m
falco-d4mgr 1/1 Running 0 65m
falcosidekick-dddffd6bf-r6bwq 1/1 Running 0 42s现在你可以使用典型的端口转发对其进行测试：
kubectl port-forward svc/falcosidekick -n falco 2801:2801curl -s http://localhost:2801/ping
pong
它是活的！
现在，我们向Slack发送一个事件来测试它是否正常工作：
curl -sI http://localhost:2801/test
HTTP/1.1 200 OK
Date: Mon, 22 Jun 2020 21:13:48 GMT在日志中，你将获得：
kubectl logs deployment/falcosidekick -n falco
2020/06/22 21:12:56 [INFO] : Enabled Outputs : Slack
2020/06/22 21:12:56 [INFO] : Falco Sidekick is up and listening on port 2801
2020/06/22 21:13:34 [DEBUG] : Test sent在Slack中：
对于Slack和其他一些输出，可以自定义消息格式，更多信息请参阅README文件。
现在我们将添加一些自定义字段，并测试一个更真实的事件。
按如下方式编辑values.yaml：
customfields: "environment:production,datacenter:paris"将事件发送到falcosidekick：
curl "http://localhost:2801/" -d'{"output":"A more realistic test event","priority":"Error","rule":"Fake rule","time":"2020-06-22T23:28:00.746609046Z", "output_fields": {"evt.time":1507591916746609046,"fd.name":"/bin/hack","proc.cmdline":"touch /bin/hack","user.name":"root"}}'
最后但并非最不重要的一点是，是时候使用falcosidekick作为我们心爱的Falco的输出处理器了。
在helm chart的falco文件夹中，编辑values.yaml：
json_output: true
json_include_output_property: true
http_output:
enabled: true
url: http://falcosidekick:2801/"helm upgrade falco . --namespace falco
Release "falco" has been upgraded. Happy Helming!就这样！
本文参与 腾讯云自媒体分享计划，分享自微信公众号。
原始发表：2020-06-30，如有侵权请联系 cloudcommunity@tencent.com 删除
评论
登录后参与评论
推荐阅读
相关产品与服务
对象存储
对象存储（Cloud Object Storage，COS）是由腾讯云推出的无目录层次结构、无数据格式限制，可容纳海量数据且支持 HTTP/HTTPS 协议访问的分布式存储服务。腾讯云 COS 的存储桶空间无容量上限，无需分区管理，适用于 CDN 数据分发、数据万象处理或大数据计算与分析的数据湖等多种场景。