Who Watches the Watchmen? Echtzeit-Threat-Detection auf Hypervisoren mit Falco

Hypervisor als fundamentale Basis im Cloudbetrieb sind ein lohnendes Ziel für Angreifer: Sei es volle Kontrolle über die virtualisierten Anwendungen bis hin zu lateraler Ausbreitung auf andere Hypervisor, Speicher- oder Netzwerkappliances – die Szenarien sind düster.

Umso wichtiger ist eine lückenlose Überwachung, wenn möglich in Echtzeit, die Anomalien erkennt, alarmiert, und im Bestfall verhindert.

Die Open-Source-Lösung Falco ermöglicht Threat Detection in Echtzeit und ist in der Netways Cloud im Einsatz. Daniel gibt einen Einblick in den Betrieb der Anwendung sowie deren Stärken und Schwächen und demonstriert, wie Falco aufgesetzt und genutzt werden kann.

Vorkenntnisse

Grundlegende Kenntnisse über die Architektur und den Aufbau von Cloudumgebungen, insbesondere OpenStack, sind für ein besseres Verständnis der diskutierten Angriffsoberfläche und Szenarien von Vorteil, aber nicht zwingend notwendig.

Lernziele

Lernziele des Vortrags sind unter anderem ein grundlegendes Verständnis von Falco als Software für Echtzeit-Threat-Detection, dessen Architektur und Funktionsweise. Anhand von praktischen Demonstrationen und Erfahrungsberichten aus dem eigenen Betrieb werden Stärken, Schwächen und Limitierungen von Falco dargelegt und dessen Anwendungsbereich von anderen verfügbaren Open-Source-Lösungen abgegrenzt, zum Beispiel Tetragon.