[Linux] Falco를 활용한 컨테이너 런타임 보안 모니터링

 

 

안녕하세요. 주식회사 서버몬 입니다.

 

Falco는 호스트, 컨테이너, Kubernetes와 같은 클라우드 네이티브 환경에서 런타임 보안을 제공하는 오픈소스 보안 도구입니다.

Linux 커널 이벤트를 비롯한 다양한 데이터 소스와 상황별 메타데이터를 기반으로 시스템 및 컨테이너에서 발생하는 비정상적인 동작, 잠재적인 보안 위협, 규정 위반 행위 등을 실시간으로 탐지하고 경고​할 수 있습니다.

일반적으로 서버 자체에서 발생하는 이상 징후나 보안 이벤트는 모니터링 및 알림 시스템을 통해 확인할 수 있습니다. 
하지만 컨테이너 내부에서 발생하는 비정상적인 행위나 보안 위협은 별도의 런타임 보안 도구가 없다면 직접 컨테이너에 접속해 확인해야 하는 경우가 있습니다.

이번 공유에서는 Falco와 Falcosidekick-UI를 실제 환경에 구축하는 과정부터 탐지 규칙 설정, 이벤트 확인 및 알림 구성까지 살펴보고, 이를 활용해 컨테이너 내부에서 발생하는 위협을 보다 효율적으로 탐지하고 관리하는 방법을 소개하고자 합니다.

 

Falco 설치 및 구성

 

Falco 공식 YUM 저장소의 GPG 키를 등록하고 dnf로 설치를 진행합니다.

curl -fsSL https://falco.org/repo/falcosecurity-packages.asc | \
sudo gpg --dearmor -o /usr/share/keyrings/falco-archive-keyring.gpg

Falco 저장소룰 추가해주세요

sudo bash -c 'cat << EOF > /etc/apt/sources.list.d/falcosecurity.list
deb [signed-by=/usr/share/keyrings/falco-archive-keyring.gpg] https://download.falco.org/packages/deb stable main
EOF'

 

Falco 설치 후 서비스로 등록 해 정상 기동 여부를 확인합니다.

[root@localhost ~]# systemctl status falco
● falco-modern-bpf.service - Falco: Container Native Runtime Security with modern ebpf
     Loaded: loaded (/usr/lib/systemd/system/falco-modern-bpf.service; enabled; preset: disabled)
     Active: active (running)

 

기본 룰만으로는 특정 서비스에 대한 비정상 접근을 세밀하게 잡아내기 어렵습니다. 
이 부분이 서버 운영 시 놓치기 쉬운 취약 지점인데, Falco는 YAML 기반 커스텀 룰로 아래처럼 보완이 가능합니다.

vim /etc/falco/falco_rules.local.yaml
# Your custom rules!

- rule: Unauthorized Nginx Config Write
  desc: nginx 설정 디렉토리에 대한 예상치 못한 쓰기 탐지
  condition: >
    open_write and container and fd.name startswith /etc/nginx
  output: >
    Unexpected write to nginx config (user=%user.name container=%container.name file=%fd.name)
  priority: WARNING

 

Falco 로그를 웹 UI 형태로 확인할 수 있도록 HTTP 출력을 활성화하고,

보다 상세한 로그 확인을 위해 아래와 같이 설정을 변경합니다.

vim /etc/falco/falco.yaml

#웹으로 로그 전달
#웹 접속 -> http://서버IP:2082
http_output:
  enabled: true
  url: "http://서버IP:2801"

#로그레벨 설정
log_level: debug

#json 형태 출력여부
json_output: true
json_include_output_property: true

 

로그 시각화 [Falcosidekick-UI]

 

Falco는 기본 로그 형태로만 이벤트를 출력하기 때문에, 다수의 서버를 운영할 경우 로그만으로는 가독성이 떨어집니다.

 
Falcosidekick과 Falcosidekick-UI를 함께 구성하면 브라우저에서 알림을 실시간으로 조회할 수 있습니다. 
Redis를 백엔드로 사용하며, 우선순위·룰별로 이벤트를 필터링해 조회할 수 있는 대시보드를 제공합니다.

#Falcosidekick 컨테이너 실행
docker run -d --name falcosidekick -p 2801:2801 falcosecurity/falcosidekick

#redis 컨테이너 실행
docker run -d --name redis -p 6379:6379 redislabs/redisearch:latest
  
#Falcosidekick-UI 컨테이너 실행
docker run -d --name falcosidekick-ui -p 2802:2802 falcosecurity/falcosidekick-ui

 

컨테이너 실행 후 http://서버IP:2802 접속시 사진과 같이 접속됩니다.

기본 계정인 admin / admin 으로 로그인 가능합니다.

 

웹 UI 구성후 로그가 넘어가는지 확인하기 위해 민감파일에 접근해 이벤트를 생성해보았습니다.

 

로그마다 위험도에 맞게 자동 분류가 되어 정보가 넘어오며 메인보드에서도 우선순위, 

태그에 맞춰 자동분류되며 원형그래프로 표시되어 간편하게 퍼센트지로 간단 파악이 가능합니다.

 

상세 로그는 EVENTS 페이지에서 확인할 수 있습니다.

서버 내 로그레벨에 맞게 출력되며 수집된 로그수가 많은 경우 필터를 통해 빠르게 조회가 가능합니다.

 

마무리하며

 

컨테이너 내부의 실시간 행위 감시는 별도 도구 없이는 사각지대로 남기 쉽습니다. 

 

무단 접근이나 설정 파일 변조 시도는 사후 로그 분석만으로는 탐지 시점이 늦어질 수 있는 약점이지만 Falco는 커널 이벤트를 실시간으로 가로채는 방식으로 이 부분을 즉시 탐지해 대응 시점을 크게 앞당겨줍니다. 

 

Falcosidekick-UI까지 함께 구성하면 로그를 일일이 grep하지 않고도 대시보드에서 실시간으로 상황을 확인할 수 있어, 소규모 환경은 물론 다수의 서버를 운영하는 환경에도 폭넓게 적용할 수 있습니다

 

 

 

 

 

 

 

1U서버 / 2U서버 / AI서버 / alyac / APC / APC UPS / backup / carepack / centos / chakramax / cuda / DAS / DB / DB서버 / defog / DEFOG랙 / dell5820 / dell5820t / dell7920 / dellpoweredge / dellr240 / dellr340 / dellr350 / dellr450 / dellr540 / dellr630 / dellr640 / dellr740 / dellr750 / dellserver / dellt40 / dellt440 / dellt5820 / dell서버 / DELL서버CPU / DELL서버RAID컨트롤러 / DELL서버SAS하드디스크 / DELL서버가격비교 / DELL서버가격비교견적 / DELL서버견적 / DELL서버구매 / DELL서버디스크교체 / DELL서버메모리 / dell서버서버몬 / DELL서버펌웨어 / DELL서버하드디스크구매 / dell옵션 / dell워크스테이션 / dl20 / dl20gen10 / dl20gen11 / dl360 / dl360gen10 / dl360gen11 / dl380 / dl380g10 / dl380gen10 / dl380gen11 / ECC메모리 / EDFOG랙가격 / embedded / est security / ESTSOFT / FIRMWARE / GPU / gpu서버 / gpu타워형서버 / greenlake / HA솔루션 / HP GPU / hp hdd / hpdl20 / HPDL20Gen10 / hpdl360 / hpdl360gen10 / hpdl380 / hpdl380g10 / HPDL380Gen10 / HPE / HPE GPU / hpe hdd / hpe rok / HPE Service Pack for Proliant / HPE SPP / hpe ssa / hpedl20 / hpedl20gen10 / hpedl360gen10 / hpe서버 / HPE서버CPU / HPE서버RAID컨트롤러 / HPE서버SAS하드디스크 / HPE서버가격비교 / HPE서버가격비교견적 / HPE서버견적 / HPE서버구매 / HPE서버드라이버설치 / HPE서버디스크교체 / HPE서버메모리 / HPE서버비용 / hpe서버소음 / HPE서버펌웨어 / HPE서버하드디스크구매 / hpe옵션 / hpe정품 / hpgen10 / hpml30 / hpserver / hpz2 / hpz4 / hpz4g4 / hpz6g4 / hpz8g4 / hp마이크로서버 / hp서버 / hp서버cto / hp서버pc / HP서버메모리 / hp서버소음 / hp서버컴퓨터 / HP서버파워 / HP서버펌웨어 / HP서버하드디스크 / hp옵션 / hp워크스테이션 / hp정품 / hp프로라이언트 / HYPER BACKUP / ibm서버 / ilo / Intelligent Provisioning / internetdisk / KVM / KVM 기술지원비(비용) / KVM 설치비 / L2스위치 / L3스위치 / LENONO서버SAS하드디스크 / lenovop620 / lenovor650 / LENOVO서버 / LENOVO서버CPU / LENOVO서버RAID컨트롤러 / LENOVO서버가격비교 / LENOVO서버가격비교견적 / LENOVO서버견적 / LENOVO서버구매 / LENOVO서버디스크교체 / LENOVO서버메모리 / LENOVO서버하드디스크구매 / LENOVO펌웨어업데이트 / Linux / ML30 / ml30gen10 / ml30gen11 / ML350GEN10 / ml350gen11 / ML360 / MS CSP / MSSQL / MSSQL 기술지원비(비용) / MSSQL 설치비 / MYSQL / MySQL 기술지원비(비용) / MySQL 설치비 / NAS / NVIDIA / Office 365 / oneview / orange / OS설치 / PA-410 / PA-440 / paloalto / poweredger740 / poweredger750 / precision5820 / QUADRO / r240 / r250 / r340 / r360 / r440 / r550 / r650 / r660 / r740 / r750xs / r760 / r760xs / RAID / redhat / RHEL설치 / RMS랙 / rocky / s100i / securedisk / server / serverpc / smart storage administrator / SPP / sql server / sr250 / sr650 / SYNOLOGY / SYNOLOGY나스 / t150 / t360 / UPS / UPS기술지원 / UPS납품 / UPS설치 / V3 / veeam / vroc / windows server / Windows서버설치 / XEON서버 / z8g4 / 가상서버 / 가성비서버 / 기술지원비(비용) / 나스기술지원 / 나스설치지원 / 네트워크스위치 / 네트워크장비 / 더블테이크 / 데이터베이스 / 델5820 / 델서버 / 델서버비용 / 델서버펌웨어업데이트 / 델옵션 / 델워크스테이션 / 델컴퓨터워크스테이션 / 디포그 / 디포그랙 / 디포그랙가격 / 딥러닝 / 딥러닝pc / 딥러닝서버 / 랙 / 랙(RACK) 기술지원비(비용) / 랙(RACK) 설치비 / 랙납품설치 / 랙설치 / 레노버p620 / 레노버서버 / 레노버워크스테이션 / 레노보서버 / 레노보서버펌웨어 / 레드헷설치 / 레이드 / 레이드구성 / 록키리눅스 / 리눅스 / 리눅스 기술지원비(비용) / 리눅스 설치비 / 리눅스서버 / 리눅스서버설치 / 리눅스서버트러블슈팅 / 리눅스트러블슈팅 / 문서보안 / 문서중앙화 / 미니서버 / 미니서버랙 / 미니서버렉 / 미디어서버 / 방화벽 / 방화벽 기술지원비(비용) / 방화벽 설치비 / 방화벽엔지니어 / 백업 / 백업 기술지원비(비용) / 백업 서버 / 백업서비스 / 백업솔루션 / 보안솔루션 / 보안솔루션구매 / 보안솔루션설치 / 보안툴 / 빔백업 / 샤크라맥스 / 서버 / 서버 기술지원비(비용) / 서 버 랙마운트비용 / 서버 설치비 / 서버 장애조치비용 / 서버CPU / 서버MEMORY / 서버OS설치 / 서버pc / 서버가격 / 서버가속기 / 서버견적 / 서버교체 / 서버구매 / 서버구입 / 서버구축 / 서버기술지원 / 서버납품 / 서버디스크장애처리 / 서버랙 / 서버렉 / 서버렉마운트 / 서버메모리 / 서버 몬 / 서버몬기술지원 / 서버백업 / 서버보안 / 서버부품 / 서버엔지니어 / 서버옵션 / 서버용GPU / 서버용PC / 서버용그래픽카드 / 서버용메모리 / 서버 / 컴퓨터 / 서버용하드디스크 / 서버재고 / 서버컴 / 서버컴퓨터 / 서버트러블슈팅 / 서버판매 / 서버하드 / 서버호스팅 / 스위치 / 스위치 기술지원비(비용) / 스위치 설치비 / 스토리지 / 스토리지 기술지원비(비용) / 스토리지 랙마운트비용 / 스토리지 설치비 / 스토리지 장애조치비용 / 스토리지납품설치 / 스토리지서버 / 시놀로지DS918 / 시놀로지HyperBackup / 시놀로지나스 / 시놀로지나스백업 / 시놀로지하이퍼백업 / 시큐어디스크 / 안랩 / 알약 / 앱서버 / 오피스 365 / 우분투설치 / 워크스테이션 / 워크스테이션pc / 워크스테이션컴퓨터 / 윈도우서버 / 윈도우서버2016 / 윈도우서버2019 / 윈도우서버2022 / 윈도우서버설치 / 윈도우서버컴퓨터 / 윈도우서버트러블슈팅 / 윈도우즈 기술지원비(비용) / 윈도우즈 설치비 / 이스트소프트 / 이스트 시큐리티 / 이중화솔루션 / 이중화솔루션구매 / 이중화솔루션설치 / 인터넷디스크 / 임베디드 / 저가서버 / 저렴한서버 / 정품서버 / 정품서버옵션 / 제온서버 / 젠서버 / 중고서버 / 중고워크스테이션 / 카보나이트 / 카스퍼스키 / 컴퓨터서버 / 케어팩 / 타워서버 / 타워형서버 / 팔로알토 / 페도라설치 / 프로라이언트