Falco节点信息

Question

如何从falco威胁事件响应中获取节点信息。根据当前支持的条件字段，我们不会得到任何关于节点名称的信息。https://falco.org/docs/rules/supported-fields/

Answer 1

要让Falco通过使用syscalls检测威胁，它需要在运行syscalls的进程所在的同一主机上运行。因此，返回有关主机名的信息是没有意义的，因为只有当所有警报聚合到某个外部服务中时，该信息才是相关的。换句话说，是聚合器在接收到消息时添加消息的来源。

但是，如果您需要区分syscall是从容器内部执行的，还是从主机上的另一个进程执行的，请查看container.id字段。如果它被设置为host，那么调用就不会发生在容器中。