Sécurité runtime avec Falco, et un correctif mergé dans Falco (CNCF)

Détection de menaces en temps réel dans les clusters, réglée contre les faux positifs et validée par des tests d'attaque, plus un correctif de résilience publié upstream.

Contexte

Les politiques d’admission disent ce qui peut être déployé. Un SIEM dit ce qui a été loggué. Aucun des deux ne dit ce qu’un conteneur fait à l’instant. C’est le rôle de la détection runtime.

Ce que j’ai construit

Étude d’architecture et choix du driver (eBPF), avec la chaîne d’alerting conçue de bout en bout.
Logs d’audit Kubernetes des clusters managés analysés par Falco via la plateforme de logs du fournisseur, sur tous les environnements.
Règles personnalisées dans leur propre dépôt : shell dans un conteneur, reverse shell, accès à /etc/shadow, conteneurs privilégiés, accès aux secrets Kubernetes.
Réduction du bruit : processus légitimes en liste blanche, namespaces CI/CD exclus, règles réglées jusqu’à obtenir des alertes qui valent la peine d’être lues.
Validation par des tests d’attaque (reverse shell, accès aux secrets), avec un rapport écrit.
FalcoSidekick pour router les alertes vers Wazuh, Prometheus et Slack. Métriques Falco dans Prometheus et documentation interne.

Contribution open source

J’ai corrigé upstream des problèmes de fiabilité du plugin d’audit OVH (k8saudit-ovh) : une boucle de reconnexion WebSocket, un retry quand une tentative de connexion échoue, et une vraie gestion des erreurs JSON. Le correctif (#1270) a été relu par les mainteneurs de Falco, mergé et publié en v0.4.1.

Résultat

Les comportements suspects dans les clusters sont détectés en temps réel et arrivent dans le même pipeline que tous les autres signaux de sécurité. Le plugin encaisse désormais les coupures réseau pour tous ceux qui l’utilisent.