Обнаружение атак в работающем кластере: то, что проскакивает мимо CI-гейтов — supply-chain-компромисс после скана, zero-day, утёкший токен, kubectl exec в прод-под. Вы научитесь писать правила Falco для syscall-событий и K8s-метаданных, проверять их через falco --dry-run, отправлять алерты в Slack через Falcosidekick, блокировать reverse shell в реальном времени политиками Tetragon (detect-then-enforce), читать K8s audit-логи и описывать детекции переносимым форматом Sigma с автоконвертацией в Splunk SPL и Elastic Lucene через pySigma.
Почему совершенные CI-гейты не останавливают инцидент: supply-chain-компромисс ПОСЛЕ скана, zero-day, утёкшие токены и легитимный доступ. Модель detect-then-enforce (Falco — детект, Tetragon — блок), eBPF-основы для безопасника и K8s audit-логи как второй обязательный поток детекции.
Falco 0.45 в бою: установка через Docker и Helm (Operator), синтаксис правил — condition, макросы, списки, field-фильтры; пишем правило «чтение /etc/shadow в контейнере» и «exec в поде лаборатории», проверяем через falco --dry-run, разводим алерты в Slack через Falcosidekick и разбираем инцидент-флоу «правило сработало — что дальше».
От детекта к блоку: ring3-детекция Falco против ring0-enforcement Tetragon, анатомия TracingPolicy (kprobes, selectors, matchActions), практика — блок exec /bin/bash в поде с label app=lab, отмена reverse shell в реальном времени, K8s audit-логи как источник правил и Stratoshark для форензики.
Detection-as-code: Sigma-правила в YAML, pySigma и sigma-cli, автоконвертация одного правила в Splunk SPL и Elastic Lucene, пайплайн ecs_kubernetes для K8s audit-логов, Sigma-правило для SQLi в access-логе лабы, связка Falco → SIEM и метрики детекции (MTTD, coverage, false positive rate).