Falco Feedsは、オープンソースに焦点を当てた企業に、新しい脅威が発見されると継続的に更新される専門家が作成したルールにアクセスできるようにすることで、Falcoの力を拡大します。
本文の内容は、2025年11月10日に Gerald Combs が投稿したブログ(https://www.sysdig.com/blog/how-falco-and-stratoshark-close-the-gap-between-open-source-runtime-detection-and-deep-forensic-analysis)を元に日本語に翻訳・再構成した内容となっております。
多くの先進的なセキュリティチームやプラットフォームチームにとって、ランタイム層はいまだに「盲点」となっています。検知ツールへの多大な投資にもかかわらず、多くのチームはいまだに「迅速に対応するか」「確信を持って対応するか」という二者択一を迫られています。
この問題は、ランタイムセキュリティにオープンソースツールを導入している組織にとって特に切実です。CNCF の Falco のようなプロジェクトにより、コンテナ、ホスト、Kubernetes 環境での不審なシステムレベルの挙動を検知することはかつてないほど容易になりました。しかし、一度アラートが発生すると、チームはその文脈を抽出して調査を開始するまでに時間的制約に直面することがあります。
これまで、リアルタイム検知と詳細なフォレンジック調査との間のギャップを埋めるには、複数の異なるツールを使い分けたり、データを手動でエクスポートしたり、あるいは直感に頼ったりする必要がありました。しかし、Falco と Stratoshark の両方で最近進展した技術により、その痛みを伴うギャップがついに埋まりつつあります。
セキュリティチームは今や、単一のオープンソースで実運用可能なワークフローの中で、「迅速に」かつ「深く」調査を進めることが可能になりました。
検知から調査までのギャップが重要である理由
典型的なセキュリティシナリオを考えてみましょう。Falco が、Kubernetes コンテナ内で予期しないシェルが生成されるといった不審なシステム活動に基づいてアラートを発します。そのアラートは極めて重要なシグナルです。しかし、その次に何が起こるのでしょうか？
フォレンジックデータが付随していない場合、チームは「何が起こったのか」を突き止めるために右往左往することになります。アラートが発生するまでにどのような経緯があったのか？その時、システム上では他にどんなことが起きていたのか？これはより大きなパターンの一部なのか？
従来のフォレンジックツールは、動作が遅すぎたり、環境から孤立していたり、あるいはコンテナ化環境向けに設計されていなかったりするため、Falco と組み合わせて本番環境のような高速なシナリオで運用するには不向きです。
ここで登場するのが Stratoshark です。
検知からディープダイブまで:新着情報
FalcoとStratosharkの最新のアップデートでは、2つの強力な技術機能が導入され、これらが連携して検知と調査のギャップを解決するようになりました。
Falcoはフォレンジックコレクションを自動化できるようになりました
Falcoの新しいキャプチャ記録機能により、検知ルールが起動したときにシステムキャプチャ（.scap）ファイルを自動的に生成できます。これらのキャプチャファイルはシステムアクティビティのフォレンジックスナップショットであり、疑わしい動作が検出された瞬間から詳細なシステムコールデータを保持します。
Falcoは、単に警告を発するのではなく、証拠を保存するようになりました。これらの.scapファイルは保存され、Stratosharkで直接再生したり調べたりできるため、実際に何が起こったのかを即座に知ることができます。
この更新にはいくつかの利点があります。
- 特定のルールやグローバルな検知範囲に合わせた設定可能な記録
- 外部のロギングパイプラインに頼らずにフォレンジックデータに瞬時にアクセス
- 検知から検査までのシームレスな経路
ランタイムの動作をリアルタイムでキャプチャすることで、チームは推測をやめて理解し始めることができます。
バイトレベルの精度で証拠を特定
.scapレコーディングに加えて、FalcoのプラグインAPIはフィールドオフセットマッピングをサポートするようになりました。Kubernetes 監査ログや AWS CloudTrail などのソースから構造化されたログを解析する際、Falcoのプラグインは、未加工のイベントデータから抽出されたフィールドの正確なバイトオフセットを示すことができるようになりました。
Stratosharkはこれを使用して、解析されたメタデータにマッピングされる未処理のイベントの正確な部分を視覚的に強調表示します。
これは調査ワークフローにとって大きな進歩です。
- アナリストはフィールドをソースデータまで直接トレースして検証できます
- 調査がより迅速になり、より確実になります
- アラートの検証が容易になり、誤検出の可能性が低くなります
これらの機能を組み合わせることで、チームは高レベルの検知を低レベルの証拠に結び付ける正確で実用的な洞察を得ることができます。
スピードと明快さの融合:新しいオープンソースフロー
このFalcoとStratosharkの統合により、パワフルな新しいワークフローが生まれました。ランタイムにおける脅威が検知されました。フォレンジックスナップショットがキャプチャされます。実務担当者は、システム全体のコンテキストがすでに整っている状態ですぐに調査に移れます。
手動でログを調べたり、複数のツールを関連付けたりする必要はありません。一連の出来事はすでに存在しています。その証拠は既に捕らえられていますので、すべてがリアルタイムで行われ、統一されたオープンソースフレームワーク内に留まります。
このモデルは、検知と対応の間にある従来の障壁を取り除き、より迅速で効果的なセキュリティ運用を可能にします。
この統合がセキュリティチームとプラットフォームチームにとって重要な理由
Kubernetes のセキュリティを確保する場合でも、ランタイムの異常をトラブルシューティングする場合でも、侵害を試みた後に根本原因分析を行う場合でも、この統合は次のことを実現します。
- データギャップのないアラートから調査への迅速な方向転送
- 解析済みフィールドと生データ間の透過的なマッピング
- 最新のインフラストラクチャー向けに構築されたオープンソースツール
- コンテナ、ホスト、クラウドワークロードを詳細に可視化
これはアラートだけではありません。重要なのは、コミュニティ主導のイノベーションによって実現される、完全で信頼できる対応ワークフローです。
北米のKubeConでライブをご覧ください
このインテグレーションをKubeCon North Americaで紹介します。ここでは、次のような実際の動作を確認できます。
- A live lightning talk titled When Falco Spots Trouble, the Shark Swims In that demonstrates the detection-to-investigation flow in real time
- Join the maintainer track “Beyond the Cloud(s): Falco’s Ascent in Performance and Deep Visibility - Leonardo Grasso & Leonardo Di Giovanna, Sysdig”
- 火曜日から木曜日まで、B棟のFalcoキオスク13A | レベル1 | 展示ホールB3-B5 | ソリューションショーケースでチームと話してください
検知するだけでなく、理解もしましょう
FalcoとStratosharkが連携することで、リアルタイムアラートとフォレンジッククラリティのどちらかを選ぶ必要がなくなります。何かが起きた瞬間にデータが手に入ります。疑問が投げかけられるとすぐに、コンテキストが把握できます。
疑わしい振る舞いの追跡、ポリシー違反の検証、複雑なシステムインタラクションの理解など、どのような場合でも、この統合により、自信を持って行動するために必要な明確さとスピードが得られます。
今すぐ Falco と Stratoshark を試して、現代的なオープンソースのランタイムセキュリティがどのようなものかを体感してください。そして、Falco や Stratoshark のようなツールを共に発展させていく議論に参加したい方は、ぜひ Sysdig オープンソースコミュニティにご参加ください！