基于 Falco 规则检测容器逃逸API 参考与实战手册Anthropic Cybersecurity Skills 实践指南【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills本文是围绕 detecting-container-escape-with-falco-rules 技能skill中的 API Reference 展开的完整技术指南。它以 Falco 官方 CLI、规则语法、过滤字段、JSON 输出与 Falcosidekick 告警链路为主线完整覆盖从 Falco 部署、自定义逃逸检测规则编写、规则验证到告警集成与结果解析的端到端流程。读完本文你将能够使用 Falco CLI 完成版本检查、规则语法校验与字段列举独立编写针对nsenter、mount、cgroup release_agent、Docker Socket、内核模块加载等逃逸向量的 Falco 规则通过 JSON 输出与 Falcosidekick 将告警路由到 Slack/Elasticsearch并使用仓库提供的agent.py/process.py脚本自动生成规则、校验规则并解析告警日志建立可落地的容器运行时逃逸检测体系。技能背景Syscall 级运行时安全监控Falco 是 CNCF 孵化的运行时安全工具通过监控 Linux 系统调用syscall实时检测容器的异常行为。在容器逃逸Container Escape检测场景中攻击者往往需要借助setns、unshare、mount、pivot_root等系统调用或nsenter、modprobe等工具突破容器边界这些行为都会在 syscall 层留下痕迹。Falco 的规则引擎正是针对这些痕迹进行匹配与告警。在 Anthropic Cybersecurity Skills 仓库中该技能被归类于container-security子域并映射了 MITRE ATTCK 的 T1610Deploy Container、T1611Escape to Host、T1609Container Administration Command、T1525Implant Container Image、T1068Exploitation for Privilege Escalation等技术以及 NIST CSF 的 PR.PS-01、PR.IR-01、ID.AM-08、DE.CM-01 控制项见 SKILL.md。这意味着本技能不仅给出检测规则还承担着将运行时告警映射到合规框架与威胁模型的任务。Falco CLI运行时管理的四个核心命令API Reference 给出了四个最常用的 CLI 命令它们是日常操作 Falco 的入口falco --version # 检查版本 falco --validate /path/to/rules.yaml # 校验规则语法 falco -r /etc/falco/rules.d/escape.yaml # 加载指定规则文件 falco --list # 列出所有可用字段 falco --list-events # 列出支持的 syscall其中falco --validate是上线规则前的强制门禁仓库脚本 agent.py 将其封装为validate_rules_file()以falco --validate rules_path子进程方式执行返回码为 0 判定语法有效否则输出 stderr 中的错误信息。任何自定义规则文件都应先通过该校验再进入 DaemonSet 热加载。falco --list输出的字段列表是编写条件表达式condition的基础下文「关键过滤字段」一节中的字段均可在该命令输出中检索确认。falco -r用于在调试阶段只加载目标规则文件避免全量规则库的干扰与 falco.yaml 配置 中的rules_files列表相互补充。Falco 规则语法一个规则对象的完整字段规则的 YAML 骨架在 API Reference 中给出- rule: name desc: description condition: filter expression output: alert message with fields priority: Emergency|Alert|Critical|Error|Warning|Notice|Informational|Debug tags: [tag1, tag2] enabled: true各字段的实战要点rule规则名会出现在告警的rule字段中命名应能直接反映攻击行为。conditionFalco 过滤器表达式是规则的核心判定逻辑支持and、or、not、in、contains、startswith、endswith等运算符。output告警输出模板以%字段名形式嵌入运行时字段例如user%user.name、container_name%container.name。字段在输出时会被自动求值填充。priority八级严重度从Emergency最高到Debug最低。agent.py 中的SEVERITY_MAP定义了与数值的对应关系Emergency:0、Alert:1、Critical:2、Error:3、Warning:4、Notice:5、Informational:6、Debug:7数值越小越紧急告警过滤时以小于等于阈值为命中条件。tags标签数组既用于归类也用于与 MITRE ATTCK 技术 ID 关联。仓库脚本以container、escape、T1611、T1610、namespace、docker_socket、cgroup、kernel_module、privileged作为逃逸告警的识别标签见 agent.py。enabled布尔值控制规则是否默认启用便于在灰度阶段关闭高误报规则。除rule基本结构外Falco 还支持list命名列表与macro可复用宏仓库的完整规则文件SKILL.md展示了它们的组合用法先定义escape_binaries列表再用macro: container_escape_attempt封装容器内执行逃逸二进制的通用条件最后多条rule直接引用该宏。关键 Falco 过滤字段编写条件的原子能力API Reference 汇总了逃逸检测最常用的过滤字段字段含义container事件是否来自容器spawned_process是否新产生了进程proc.name进程名proc.cmdline完整命令行proc.pname父进程名fd.name文件描述符对应的路径container.name容器名container.image.repository镜像仓库名container.privileged容器是否为特权模式proc.is_exe_upper_layer二进制是否不在原始镜像层中写入的可疑可执行文件evt.type系统调用类型如 setns、unshare、mount条件表达式组合示例检测挂载宿主文件系统时用spawned_process and container and proc.name mount and (proc.args contains /host or proc.args contains nsenter)检测 cgroup 逃逸向量时用open_write and container and fd.name endswith release_agent对应 CVE-2022-0492。evt.type字段则适合做细粒度 syscall 级匹配例如仅当evt.type setns或evt.type unshare时触发告警。这些字段与 SKILL.md 中 8 条逃逸检测规则一一对应。逃逸检测规则库8 条核心规则与完整规则文件SKILL.md 提供了覆盖主流逃逸向量的规则集每条规则在 process.py 的ESCAPE_RULES字典中都有对应的可编程模板规则条件核心优先级标签挂载宿主文件系统proc.name mount and (args contains /host or nsenter)CRITICALT1611nsenter 命名空间逃逸proc.name nsenterCRITICALT1611, namespace特权容器启动container_started and container.privilegedtrueWARNINGT1610写入 /proc/sysrq-triggeropen_write and fd.name /proc/sysrq-triggerCRITICALhost-manipulation加载内核模块proc.name in (insmod, modprobe)CRITICALT1611, kernel写入 cgroup release_agentopen_write and fd.name endswith release_agentCRITICALCVE-2022-0492读取宿主 /etc/shadowopen_read and (fd.name /etc/shadow or startswith /host/etc/shadow)CRITICALT1003访问 Docker Socket(open_read or open_write) and fd.name /var/run/docker.sockCRITICALT1610最终可部署的完整规则文件/etc/falco/rules.d/container-escape.yaml在 SKILL.md 中给出它合并了escape_binaries列表nsenter、chroot、unshare、mount、umount、pivot_root、container_escape_attempt宏、逃逸二进制执行规则以及针对/proc/1/、/etc/shadow、/etc/kubernetes/admin.conf、/var/lib/kubelet/等敏感路径的访问检测规则。而 process.py 的generate_all_rules()函数能够以脚本方式自动生成同构规则集——这意味着你可以把规则模板纳入 CI/CD随镜像与集群变更自动产出新的规则文件。Falco JSON 输出格式告警事件的机器可读结构当json_output: true开启后Falco 每行输出一个 JSON 对象API Reference 给出了标准结构{ time: 2024-01-15T10:30:00.000Z, rule: Container Escape Binary Execution, priority: Critical, source: syscall, output: Escape binary in container..., output_fields: { user.name: root, proc.cmdline: nsenter -t 1 -m -u -i -n, container.name: attacker-pod }, tags: [container, escape, T1611] }关键字段说明source告警来源本文场景为syscallFalco 还支持k8s_audit等来源。output_fields规则 output 模板中%字段的求值结果是排查阶段最核心的证据进程命令行、容器名、用户等。tags与规则中的tags一致脚本据此识别逃逸告警。仓库的两个脚本都实现了对该 JSON 结构的解析agent.py 的parse_falco_alerts()按--min-priority阈值过滤利用SEVERITY_MAP比较数值等级并将 tags 与逃逸标签集合求交集以提取escape_alertsprocess.py 的parse_falco_alerts()与summarize_alerts()则进一步按优先级与规则名聚合统计输出by_priority、by_rule与escape_attempts摘要。解析结果可直接对接 SIEM 或生成逃逸检测报告。Falcosidekick 告警路由Slack 与 Elasticsearch 集成Falco 本身只负责检测告警分发由 Falcosidekick 完成。API Reference 给出了最小配置config: slack: webhookurl: https://hooks.slack.com/services/XXX minimumpriority: critical elasticsearch: hostport: https://es:9200 index: falco-alerts其中minimumpriority定义了进入该通道的最低告警级别可在通道层面做告警分级例如 Slack 只接收critical以上避免告警疲劳Elasticsearch 接收notice以上用于全量留存。更完整的 Slack 模板在 SKILL.md 中支持 Go 模板语法提取{{.Priority}}、{{.Rule}}、{{.OutputFields.container_name}}、{{.OutputFields.container_image_repository}}、{{.OutputFields.proc_cmdline}}等字段将告警渲染为可读消息。workflows 文档还演示了 Prometheus 输出用于指标监控workflows.md。Helm 部署Kubernetes 环境下的标准安装API Reference 提供了一行式 Helm 安装命令helm repo add falcosecurity https://falcosecurity.github.io/charts helm install falco falcosecurity/falco \ --namespace falco --create-namespace \ --set driver.kindebpf \ --set falcosidekick.enabledtruedriver.kindebpf选择 eBPF 驱动而非内核模块。SKILL.md 的最佳实践明确推荐 eBPF 驱动更安全、无需编译模块、对内核版本要求为 5.8。falcosidekick.enabledtrue同 Chart 部署告警分发器。生产环境还需补充--set falcosidekick.webui.enabledtrue与 containerd 收集器配置--set collectors.containerd.enabledtrue --set collectors.containerd.socket/run/containerd/containerd.sock见 SKILL.md。完整部署流程含 verify 与 rollout status 检查在 workflows.md安装后以kubectl get pods -n falco -o wide确认 DaemonSet 在每个节点就绪再通过kubectl logs -n falco -l app.kubernetes.io/namefalco --tail10检查启动日志。也可参考 workflows.md 用 ConfigMap 承载自定义规则并kubectl rollout restart daemonset/falco热加载。配套 CLI用脚本自动化规则生命周期仓库为该技能提供了两个 Python 工具分别对应 API Reference 中的 CLI 用法python agent.py --check-status python agent.py --validate-rules /etc/falco/rules.d/escape.yaml python agent.py --parse-alerts /var/log/falco/events.json --min-priority Warning python agent.py --generate-rules escape-rules.yamlagent.py 的四个参数对应--check-status检测 Falco 是否安装及服务状态先尝试falco --version回退到systemctl is-active falco--validate-rules调用falco --validate校验规则文件--parse-alerts按最低优先级解析 JSON 告警并输出逃逸告警摘要--generate-rules直接打印内置的逃逸检测规则 YAML。process.py 提供了generate、parse-alerts、health、deploy四个子命令。其中deploy子命令演示了完整自动化链路generate_all_rules()生成规则 →kubectl create configmap ... --dry-runclient -o yaml生成 ConfigMap 清单 →kubectl apply -f -应用 → 提示kubectl rollout restart daemonset/falco加载新规则。health子命令则通过 Kubernetes API 检查 Falco Pod 是否全部处于 Running 状态。这套 CLI 的意义在于把编写规则 → 校验 → 部署 → 解析告警固化为一套可重复执行的程序化流程适合集成进 SOC 的检测工程流水线。规则测试与验证模拟逃逸行为规则上线后必须实测验证。SKILL.md 给出了三种模拟方式# 模拟敏感文件读取触发 shadow 规则 kubectl run test-escape --imagealpine --restartNever -- sh -c cat /etc/shadow # 模拟 nsenter 命名空间逃逸hostPID 容器内执行 kubectl run test-nsenter --imagealpine --restartNever --overrides{spec:{hostPID:true}} -- nsenter -t 1 -m -u -i -n -- cat /etc/hostname # 检查告警是否命中 kubectl logs -n falco -l app.kubernetes.io/namefalco --tail50 | grep -i escape更系统的三阶段测试在 workflows.md 中测试 1 用securityContext.privilegedtrue覆盖启动特权容器验证Launch Privileged Container规则WARNING 级测试 2 用cat /etc/shadow验证敏感文件读取规则测试 3 通过kubectl exec -it deploy/some-app -- /bin/sh验证 Shell 生成的默认规则Terminal shell in container。验证完成后需及时kubectl delete pod清理测试负载。规则加载情况可用falco --list | grep -i escape在运行中的 Falco Pod 内确认workflows.md。配置要点falco.yaml 关键设置将自定义规则接入 Falco 并在生产输出需要调整 falco.yaml 中的以下设置rules_files: - /etc/falco/falco_rules.yaml - /etc/falco/rules.d/container-escape.yaml json_output: true json_include_output_property: true json_include_tags_property: true log_level: info priority: WARNING http_output: enabled: true url: http://falcosidekick:2801 insecure: true grpc: enabled: true bind_address: unix:///run/falco/falco.sock threadiness: 8 grpc_output: enabled: truerules_files将自定义规则文件追加进加载列表json_*三项控制 JSON 告警格式及其中的 output/tags 字段是否包含务必全部开启以配合脚本解析。priority: WARNING全局最低告警级别低于该级别的事件不输出。http_output将告警转发给 Falcosidekickhttp://falcosidekick:2801insecure: true用于集群内明文 HTTP。grpc/grpc_output开启 gRPC 服务供客户端如 Falco Sidekick、falcoctl查询threadiness: 8为工作线程数。误报抑制与告警调优容器逃逸规则普遍存在误报风险如合法运维工具使用 nsenter 调试。workflows.md 给出了标准调优手段——追加 exceptions 白名单- rule: Terminal shell in container append: true exceptions: - name: known_shell_spawners fields: [container.image.repository] comps: [in] values: - [my-debug-image, kubectl-debug]append: true表示对既有规则追加修改exceptions按fields comps values组合定义豁免条件。SKILL.md 的最佳实践还建议以 DaemonSet 方式覆盖全部节点、先基于默认规则maturity_stable再叠加自定义规则、为规则打上 MITRE ATTCK 技术 ID 标签便于关联、在强制模式前先以宽松模式测试、并通过 Prometheus 指标端点持续监控 Falco 健康度SKILL.md。assets/template.md 提供的告警分诊模板0-5 分钟处置、5-30 分钟调查、隔离/取证/恢复三阶段可作为告警触发后的标准响应清单。威胁模型与标准映射逃逸检测不是孤立告警它需要与威胁模型对齐。standards.md 给出了 MITRE ATTCK for Containers 的检测映射技术 ID名称Falco 检测手段T1611Escape to Hostnsenter、mount、chroot 检测T1610Deploy Container特权容器启动检测T1003OS Credential Dumping容器内 /etc/shadow 访问T1005Data from Local System敏感文件读取检测T1059Command and Scripting Interpreter容器内 Shell 启动T1068Exploitation for Privilege Escalation内核漏洞利用指标该表同时关联历史逃逸 CVECVE-2024-21626runc 的process.cwd逃逸检测/proc/self/fd访问宿主路径、CVE-2022-0492cgroup v1 release_agent对应上文 cgroup 规则、CVE-2022-0185文件系统上下文漏洞检测容器内 unshare、CVE-2020-15257containerd-shim API检测抽象 socket 连接、CVE-2019-5736runc 覆盖宿主二进制检测对/proc/self/exe的写入详见 standards.md。此外NIST SP 800-190容器运行时监控与告警、CIS Kubernetes Benchmark v1.8 的 5.7.x 小节seccomp、Security Context、命名空间隔离以及 NSA/CISA Kubernetes 加固指南第 5 节审计日志与威胁检测均为本技能提供了合规上下文。读者可在仓库 mappings 目录中查看全部技能对 ATTCK 框架的整体覆盖情况。总结从 API Reference 出发本技能提供了一条完整的容器逃逸检测闭环CLI 管理version/validate/list→ 规则编写语法 过滤字段 8 条逃逸规则→ JSON 结构化输出 → Falcosidekick 告警路由Slack/Elasticsearch/Prometheus→ 脚本自动化agent.py / process.py 的生成、校验、解析、部署→ 模拟测试与误报调优 → 威胁模型与合规映射。配合 SKILL.md 的完整规则库、workflows.md 的五阶段实战流程以及 assets/template.md 的告警分诊模板安全团队可以在 Kubernetes/容器环境中快速建立 syscall 级的逃逸检测能力并将告警无缝接入现有 SIEM/SOAR 体系。【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
基于 Falco 规则检测容器逃逸API 参考与实战手册Anthropic Cybersecurity Skills 实践指南【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills本文是围绕 detecting-container-escape-with-falco-rules 技能skill中的 API Reference 展开的完整技术指南。它以 Falco 官方 CLI、规则语法、过滤字段、JSON 输出与 Falcosidekick 告警链路为主线完整覆盖从 Falco 部署、自定义逃逸检测规则编写、规则验证到告警集成与结果解析的端到端流程。读完本文你将能够使用 Falco CLI 完成版本检查、规则语法校验与字段列举独立编写针对nsenter、mount、cgroup release_agent、Docker Socket、内核模块加载等逃逸向量的 Falco 规则通过 JSON 输出与 Falcosidekick 将告警路由到 Slack/Elasticsearch并使用仓库提供的agent.py/process.py脚本自动生成规则、校验规则并解析告警日志建立可落地的容器运行时逃逸检测体系。技能背景Syscall 级运行时安全监控Falco 是 CNCF 孵化的运行时安全工具通过监控 Linux 系统调用syscall实时检测容器的异常行为。在容器逃逸Container Escape检测场景中攻击者往往需要借助setns、unshare、mount、pivot_root等系统调用或nsenter、modprobe等工具突破容器边界这些行为都会在 syscall 层留下痕迹。Falco 的规则引擎正是针对这些痕迹进行匹配与告警。在 Anthropic Cybersecurity Skills 仓库中该技能被归类于container-security子域并映射了 MITRE ATTCK 的 T1610Deploy Container、T1611Escape to Host、T1609Container Administration Command、T1525Implant Container Image、T1068Exploitation for Privilege Escalation等技术以及 NIST CSF 的 PR.PS-01、PR.IR-01、ID.AM-08、DE.CM-01 控制项见 SKILL.md。这意味着本技能不仅给出检测规则还承担着将运行时告警映射到合规框架与威胁模型的任务。Falco CLI运行时管理的四个核心命令API Reference 给出了四个最常用的 CLI 命令它们是日常操作 Falco 的入口falco --version # 检查版本 falco --validate /path/to/rules.yaml # 校验规则语法 falco -r /etc/falco/rules.d/escape.yaml # 加载指定规则文件 falco --list # 列出所有可用字段 falco --list-events # 列出支持的 syscall其中falco --validate是上线规则前的强制门禁仓库脚本 agent.py 将其封装为validate_rules_file()以falco --validate rules_path子进程方式执行返回码为 0 判定语法有效否则输出 stderr 中的错误信息。任何自定义规则文件都应先通过该校验再进入 DaemonSet 热加载。falco --list输出的字段列表是编写条件表达式condition的基础下文「关键过滤字段」一节中的字段均可在该命令输出中检索确认。falco -r用于在调试阶段只加载目标规则文件避免全量规则库的干扰与 falco.yaml 配置 中的rules_files列表相互补充。Falco 规则语法一个规则对象的完整字段规则的 YAML 骨架在 API Reference 中给出- rule: name desc: description condition: filter expression output: alert message with fields priority: Emergency|Alert|Critical|Error|Warning|Notice|Informational|Debug tags: [tag1, tag2] enabled: true各字段的实战要点rule规则名会出现在告警的rule字段中命名应能直接反映攻击行为。conditionFalco 过滤器表达式是规则的核心判定逻辑支持and、or、not、in、contains、startswith、endswith等运算符。output告警输出模板以%字段名形式嵌入运行时字段例如user%user.name、container_name%container.name。字段在输出时会被自动求值填充。priority八级严重度从Emergency最高到Debug最低。agent.py 中的SEVERITY_MAP定义了与数值的对应关系Emergency:0、Alert:1、Critical:2、Error:3、Warning:4、Notice:5、Informational:6、Debug:7数值越小越紧急告警过滤时以小于等于阈值为命中条件。tags标签数组既用于归类也用于与 MITRE ATTCK 技术 ID 关联。仓库脚本以container、escape、T1611、T1610、namespace、docker_socket、cgroup、kernel_module、privileged作为逃逸告警的识别标签见 agent.py。enabled布尔值控制规则是否默认启用便于在灰度阶段关闭高误报规则。除rule基本结构外Falco 还支持list命名列表与macro可复用宏仓库的完整规则文件SKILL.md展示了它们的组合用法先定义escape_binaries列表再用macro: container_escape_attempt封装容器内执行逃逸二进制的通用条件最后多条rule直接引用该宏。关键 Falco 过滤字段编写条件的原子能力API Reference 汇总了逃逸检测最常用的过滤字段字段含义container事件是否来自容器spawned_process是否新产生了进程proc.name进程名proc.cmdline完整命令行proc.pname父进程名fd.name文件描述符对应的路径container.name容器名container.image.repository镜像仓库名container.privileged容器是否为特权模式proc.is_exe_upper_layer二进制是否不在原始镜像层中写入的可疑可执行文件evt.type系统调用类型如 setns、unshare、mount条件表达式组合示例检测挂载宿主文件系统时用spawned_process and container and proc.name mount and (proc.args contains /host or proc.args contains nsenter)检测 cgroup 逃逸向量时用open_write and container and fd.name endswith release_agent对应 CVE-2022-0492。evt.type字段则适合做细粒度 syscall 级匹配例如仅当evt.type setns或evt.type unshare时触发告警。这些字段与 SKILL.md 中 8 条逃逸检测规则一一对应。逃逸检测规则库8 条核心规则与完整规则文件SKILL.md 提供了覆盖主流逃逸向量的规则集每条规则在 process.py 的ESCAPE_RULES字典中都有对应的可编程模板规则条件核心优先级标签挂载宿主文件系统proc.name mount and (args contains /host or nsenter)CRITICALT1611nsenter 命名空间逃逸proc.name nsenterCRITICALT1611, namespace特权容器启动container_started and container.privilegedtrueWARNINGT1610写入 /proc/sysrq-triggeropen_write and fd.name /proc/sysrq-triggerCRITICALhost-manipulation加载内核模块proc.name in (insmod, modprobe)CRITICALT1611, kernel写入 cgroup release_agentopen_write and fd.name endswith release_agentCRITICALCVE-2022-0492读取宿主 /etc/shadowopen_read and (fd.name /etc/shadow or startswith /host/etc/shadow)CRITICALT1003访问 Docker Socket(open_read or open_write) and fd.name /var/run/docker.sockCRITICALT1610最终可部署的完整规则文件/etc/falco/rules.d/container-escape.yaml在 SKILL.md 中给出它合并了escape_binaries列表nsenter、chroot、unshare、mount、umount、pivot_root、container_escape_attempt宏、逃逸二进制执行规则以及针对/proc/1/、/etc/shadow、/etc/kubernetes/admin.conf、/var/lib/kubelet/等敏感路径的访问检测规则。而 process.py 的generate_all_rules()函数能够以脚本方式自动生成同构规则集——这意味着你可以把规则模板纳入 CI/CD随镜像与集群变更自动产出新的规则文件。Falco JSON 输出格式告警事件的机器可读结构当json_output: true开启后Falco 每行输出一个 JSON 对象API Reference 给出了标准结构{ time: 2024-01-15T10:30:00.000Z, rule: Container Escape Binary Execution, priority: Critical, source: syscall, output: Escape binary in container..., output_fields: { user.name: root, proc.cmdline: nsenter -t 1 -m -u -i -n, container.name: attacker-pod }, tags: [container, escape, T1611] }关键字段说明source告警来源本文场景为syscallFalco 还支持k8s_audit等来源。output_fields规则 output 模板中%字段的求值结果是排查阶段最核心的证据进程命令行、容器名、用户等。tags与规则中的tags一致脚本据此识别逃逸告警。仓库的两个脚本都实现了对该 JSON 结构的解析agent.py 的parse_falco_alerts()按--min-priority阈值过滤利用SEVERITY_MAP比较数值等级并将 tags 与逃逸标签集合求交集以提取escape_alertsprocess.py 的parse_falco_alerts()与summarize_alerts()则进一步按优先级与规则名聚合统计输出by_priority、by_rule与escape_attempts摘要。解析结果可直接对接 SIEM 或生成逃逸检测报告。Falcosidekick 告警路由Slack 与 Elasticsearch 集成Falco 本身只负责检测告警分发由 Falcosidekick 完成。API Reference 给出了最小配置config: slack: webhookurl: https://hooks.slack.com/services/XXX minimumpriority: critical elasticsearch: hostport: https://es:9200 index: falco-alerts其中minimumpriority定义了进入该通道的最低告警级别可在通道层面做告警分级例如 Slack 只接收critical以上避免告警疲劳Elasticsearch 接收notice以上用于全量留存。更完整的 Slack 模板在 SKILL.md 中支持 Go 模板语法提取{{.Priority}}、{{.Rule}}、{{.OutputFields.container_name}}、{{.OutputFields.container_image_repository}}、{{.OutputFields.proc_cmdline}}等字段将告警渲染为可读消息。workflows 文档还演示了 Prometheus 输出用于指标监控workflows.md。Helm 部署Kubernetes 环境下的标准安装API Reference 提供了一行式 Helm 安装命令helm repo add falcosecurity https://falcosecurity.github.io/charts helm install falco falcosecurity/falco \ --namespace falco --create-namespace \ --set driver.kindebpf \ --set falcosidekick.enabledtruedriver.kindebpf选择 eBPF 驱动而非内核模块。SKILL.md 的最佳实践明确推荐 eBPF 驱动更安全、无需编译模块、对内核版本要求为 5.8。falcosidekick.enabledtrue同 Chart 部署告警分发器。生产环境还需补充--set falcosidekick.webui.enabledtrue与 containerd 收集器配置--set collectors.containerd.enabledtrue --set collectors.containerd.socket/run/containerd/containerd.sock见 SKILL.md。完整部署流程含 verify 与 rollout status 检查在 workflows.md安装后以kubectl get pods -n falco -o wide确认 DaemonSet 在每个节点就绪再通过kubectl logs -n falco -l app.kubernetes.io/namefalco --tail10检查启动日志。也可参考 workflows.md 用 ConfigMap 承载自定义规则并kubectl rollout restart daemonset/falco热加载。配套 CLI用脚本自动化规则生命周期仓库为该技能提供了两个 Python 工具分别对应 API Reference 中的 CLI 用法python agent.py --check-status python agent.py --validate-rules /etc/falco/rules.d/escape.yaml python agent.py --parse-alerts /var/log/falco/events.json --min-priority Warning python agent.py --generate-rules escape-rules.yamlagent.py 的四个参数对应--check-status检测 Falco 是否安装及服务状态先尝试falco --version回退到systemctl is-active falco--validate-rules调用falco --validate校验规则文件--parse-alerts按最低优先级解析 JSON 告警并输出逃逸告警摘要--generate-rules直接打印内置的逃逸检测规则 YAML。process.py 提供了generate、parse-alerts、health、deploy四个子命令。其中deploy子命令演示了完整自动化链路generate_all_rules()生成规则 →kubectl create configmap ... --dry-runclient -o yaml生成 ConfigMap 清单 →kubectl apply -f -应用 → 提示kubectl rollout restart daemonset/falco加载新规则。health子命令则通过 Kubernetes API 检查 Falco Pod 是否全部处于 Running 状态。这套 CLI 的意义在于把编写规则 → 校验 → 部署 → 解析告警固化为一套可重复执行的程序化流程适合集成进 SOC 的检测工程流水线。规则测试与验证模拟逃逸行为规则上线后必须实测验证。SKILL.md 给出了三种模拟方式# 模拟敏感文件读取触发 shadow 规则 kubectl run test-escape --imagealpine --restartNever -- sh -c cat /etc/shadow # 模拟 nsenter 命名空间逃逸hostPID 容器内执行 kubectl run test-nsenter --imagealpine --restartNever --overrides{spec:{hostPID:true}} -- nsenter -t 1 -m -u -i -n -- cat /etc/hostname # 检查告警是否命中 kubectl logs -n falco -l app.kubernetes.io/namefalco --tail50 | grep -i escape更系统的三阶段测试在 workflows.md 中测试 1 用securityContext.privilegedtrue覆盖启动特权容器验证Launch Privileged Container规则WARNING 级测试 2 用cat /etc/shadow验证敏感文件读取规则测试 3 通过kubectl exec -it deploy/some-app -- /bin/sh验证 Shell 生成的默认规则Terminal shell in container。验证完成后需及时kubectl delete pod清理测试负载。规则加载情况可用falco --list | grep -i escape在运行中的 Falco Pod 内确认workflows.md。配置要点falco.yaml 关键设置将自定义规则接入 Falco 并在生产输出需要调整 falco.yaml 中的以下设置rules_files: - /etc/falco/falco_rules.yaml - /etc/falco/rules.d/container-escape.yaml json_output: true json_include_output_property: true json_include_tags_property: true log_level: info priority: WARNING http_output: enabled: true url: http://falcosidekick:2801 insecure: true grpc: enabled: true bind_address: unix:///run/falco/falco.sock threadiness: 8 grpc_output: enabled: truerules_files将自定义规则文件追加进加载列表json_*三项控制 JSON 告警格式及其中的 output/tags 字段是否包含务必全部开启以配合脚本解析。priority: WARNING全局最低告警级别低于该级别的事件不输出。http_output将告警转发给 Falcosidekickhttp://falcosidekick:2801insecure: true用于集群内明文 HTTP。grpc/grpc_output开启 gRPC 服务供客户端如 Falco Sidekick、falcoctl查询threadiness: 8为工作线程数。误报抑制与告警调优容器逃逸规则普遍存在误报风险如合法运维工具使用 nsenter 调试。workflows.md 给出了标准调优手段——追加 exceptions 白名单- rule: Terminal shell in container append: true exceptions: - name: known_shell_spawners fields: [container.image.repository] comps: [in] values: - [my-debug-image, kubectl-debug]append: true表示对既有规则追加修改exceptions按fields comps values组合定义豁免条件。SKILL.md 的最佳实践还建议以 DaemonSet 方式覆盖全部节点、先基于默认规则maturity_stable再叠加自定义规则、为规则打上 MITRE ATTCK 技术 ID 标签便于关联、在强制模式前先以宽松模式测试、并通过 Prometheus 指标端点持续监控 Falco 健康度SKILL.md。assets/template.md 提供的告警分诊模板0-5 分钟处置、5-30 分钟调查、隔离/取证/恢复三阶段可作为告警触发后的标准响应清单。威胁模型与标准映射逃逸检测不是孤立告警它需要与威胁模型对齐。standards.md 给出了 MITRE ATTCK for Containers 的检测映射技术 ID名称Falco 检测手段T1611Escape to Hostnsenter、mount、chroot 检测T1610Deploy Container特权容器启动检测T1003OS Credential Dumping容器内 /etc/shadow 访问T1005Data from Local System敏感文件读取检测T1059Command and Scripting Interpreter容器内 Shell 启动T1068Exploitation for Privilege Escalation内核漏洞利用指标该表同时关联历史逃逸 CVECVE-2024-21626runc 的process.cwd逃逸检测/proc/self/fd访问宿主路径、CVE-2022-0492cgroup v1 release_agent对应上文 cgroup 规则、CVE-2022-0185文件系统上下文漏洞检测容器内 unshare、CVE-2020-15257containerd-shim API检测抽象 socket 连接、CVE-2019-5736runc 覆盖宿主二进制检测对/proc/self/exe的写入详见 standards.md。此外NIST SP 800-190容器运行时监控与告警、CIS Kubernetes Benchmark v1.8 的 5.7.x 小节seccomp、Security Context、命名空间隔离以及 NSA/CISA Kubernetes 加固指南第 5 节审计日志与威胁检测均为本技能提供了合规上下文。读者可在仓库 mappings 目录中查看全部技能对 ATTCK 框架的整体覆盖情况。总结从 API Reference 出发本技能提供了一条完整的容器逃逸检测闭环CLI 管理version/validate/list→ 规则编写语法 过滤字段 8 条逃逸规则→ JSON 结构化输出 → Falcosidekick 告警路由Slack/Elasticsearch/Prometheus→ 脚本自动化agent.py / process.py 的生成、校验、解析、部署→ 模拟测试与误报调优 → 威胁模型与合规映射。配合 SKILL.md 的完整规则库、workflows.md 的五阶段实战流程以及 assets/template.md 的告警分诊模板安全团队可以在 Kubernetes/容器环境中快速建立 syscall 级的逃逸检测能力并将告警无缝接入现有 SIEM/SOAR 体系。【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
