クラウドセキュリティ

Falco ふぁるこ

ランタイムセキュリティKubernetesシステムコールeBPF脅威検知CNCF

Falcoについて教えて

簡単に言うとこんな感じ！

Falcoは、Kubernetesやサーバーの中で「いま何か変なことが起きてないか？」をリアルタイムで監視してくれるセキュリティツールだよ。侵入者が家の中で動き回っているのを察知する「防犯カメラ＋警報システム」みたいなイメージ！

Falcoとは

Falcoは、クラウドネイティブ環境（特にKubernetesやコンテナ）向けのオープンソースのランタイムセキュリティツールです。アプリケーションが「実際に動いている最中（ランタイム）」に、不審なふるまいや脅威をリアルタイムで検知するために使われます。もともとはSysdigが開発し、現在はCNCF（Cloud Native Computing Foundation）の卒業プロジェクトとして広く普及しています。

Falcoの最大の特徴は、OSのシステムコール（syscall）という「プログラムがOSに命令を送る低レベルな通信」を監視することです。これにより、「ファイルへの不正アクセス」「特権コマンドの実行」「ネットワーク接続の異常」など、コンテナの内側で起きる怪しい動きを見逃しません。ファイアウォールや脆弱性スキャナが「入口」を守るのに対し、Falcoは「すでに中に入ってきた脅威」を検知するのが役割です。

ビジネス的な文脈で言えば、クラウドシステムへの攻撃は「入口を突破した後」に大きな被害をもたらします。Falcoを導入することで、不正アクセスや設定ミスによるリスクを早期に検知でき、インシデント対応の速度を大幅に向上させることができます。

Falcoの仕組みと構造

Falcoは大きく3つの要素で動作します。

要素	役割	例え
データソース（ドライバ）	システムコールやログを収集する	防犯カメラのレンズ
ルールエンジン	収集したデータを定義済みルールと照合する	警報の判断基準
アラート出力	異常を検知したら通知・ログを出力する	警報ベルとログブック

データ収集の方法：カーネルドライバとeBPF

Falcoがシステムコールを監視する方法は主に2種類あります。

カーネルモジュール（従来型）: Linuxカーネルに直接モジュールを挿入して監視。性能は高いが、カーネルのバージョン依存が強い
eBPF（現在の主流）: Linuxカーネルに安全にプログラムを注入できる技術。カーネルに変更を加えず、安全かつ柔軟に動作する。クラウド環境ではeBPFが推奨される

ルールの書き方

FalcoのルールはYAML形式で記述され、「どんな条件のとき」「何をするか」を定義します。

- rule: コンテナ内でシェルが起動された
  desc: コンテナの中でbashやshが実行されると危険な場合がある
  condition: >
    spawned_process and container
    and proc.name in (bash, sh, zsh)
  output: >
    コンテナ内でシェル起動を検知
    (user=%user.name container=%container.name)
  priority: WARNING

このように「条件（condition）」と「出力メッセージ（output）」と「深刻度（priority）」をセットで定義します。Falcoにはデフォルトで豊富なルールセットが付属しており、最初から多くの脅威パターンに対応しています。

歴史と背景

2016年: Sysdigがオープンソースプロジェクトとしてリリース
2018年: CNCF（Cloud Native Computing Foundation）にサンドボックスプロジェクトとして受理される
2020年: CNCFのインキュベーティングプロジェクトに昇格。Kubernetes環境でのデファクトスタンダード的な位置づけに
2022年: eBPFサポートが本格強化され、クラウドプロバイダーのマネージドKubernetes（EKS・GKE・AKSなど）での導入が容易に
2023年: CNCFの卒業プロジェクトに昇格。本番環境での採用実績が多数認められ、エンタープライズ利用が急拡大
現在: Prometheus・Grafanaなどの監視スタックとの連携、SIEMとの統合も一般的になり、クラウドセキュリティの必須ツールとして定着

Falcoと関連ツールの比較・位置づけ

セキュリティツールには役割ごとに「守るタイミング」が異なります。Falcoはその中でも「動いている最中」を担います。

フェーズ	ツール例	Falcoとの違い
コード・イメージのスキャン（事前）	Trivy、Snyk	デプロイ前に脆弱性を検出。ランタイムは対象外
ネットワーク境界の防御	ファイアウォール、WAF	通信の入口を守る。内部の動作は監視しない
ランタイム監視（実行中）	Falco	動作中のコンテナ・ホストの異常をリアルタイム検知
インシデント対応・集約	SIEM（Splunk、Elastic）	Falcoのアラートを受け取り、横断的に分析

以下の図は、Falcoがシステムのどこでどのように機能するかを示します。

代表的なデフォルト検知ルール

Falcoには最初から以下のような検知ルールが組み込まれています。

検知カテゴリ	具体例
コンテナ内のシェル起動	本番コンテナ内でbashが実行された
特権操作	rootによるファイル書き込み、chmodの実行
機密ファイルへのアクセス	`/etc/shadow`（パスワードファイル）の読み取り
ネットワーク異常	予期しないポートへの外部接続
Kubernetes API操作	本番クラスターへの異常なkubectl実行
クラウドAPIの不審な呼び出し	IAMロールの急な変更、S3バケットの公開設定変更

規格・参考文書	内容
CNCF Falco Project	CNCFの卒業プロジェクトとしての公式ページ
CIS Kubernetes Benchmark	KubernetesのセキュリティベースラインとFalcoルールの対応参照に使われる