Xin chào mọi người
Đây là Watanabe, phụ trách phiên thứ 20
Lần này, tôi sẽ giải thích tỷ lệ cá cược trực tiếp và Macro, hai thành phần tạo nên quy tắc của Falco

Falco là gì? Nếu vậy hãy xem bài viết dưới đây nhéhttps://wwwscskjp/sp/sysdig/blog/scsk/scskfalco_-_conditionhtml

tỷ lệ cá cược trực tiếp, Macro là gì

Nó là tập hợp các phần tử hoặc biểu thức
tỷ lệ cá cược trực tiếp xử lý nhiều phần tử, Macro xử lý biểu thức

Cả phần mô tả và định nghĩa trừu tượng đều có thể tái sử dụng được
Điều này cho phép thể hiện chính xác các điều kiện phức tạp

Hãy xem một ví dụ thực tế

Ví dụ về tỷ lệ cá cược trực tiếp

yaml

tỷ lệ cá cược trực tiếp có thể được xác định bằng cách chỉ định tỷ lệ cá cược trực tiếp cho Tên khóa và tên duy nhất cho Giá trị
items mô tả các thành phần bạn muốn có Phần tử là một giá trị riêng lẻ mà bạn muốn đánh giá trong một điều kiện

Với định nghĩa này, từ userexec_binaries được nhận dạng trong mệnh đề điều kiện là có các phần tử "sudo" và "su"

tỷ lệ cá cược trực tiếp chủ yếu được sử dụng kết hợp với toán tử in và được viết như sau
Toán tử in đánh giá xem mục đã cho có được đưa vào hay không

yaml

Procname ở trên trong (userexec_binaries) có thể được hiểu như sau

yaml

Ngoài ra, toán tử in cũng có thể sử dụng not và bằng cách chỉ định not in, nó sẽ được đánh giá là ``nếu nó là một giá trị không phải là List''

Ví dụ vĩ mô

yaml

Có thể xác định macro bằng cách chỉ định macro cho Tên khóa và tên duy nhất cho Giá trị
Macro xử lý các biểu thức nên nó được viết bằng điều kiện tương tự như quy tắc

Với định nghĩa này, từ container trong mệnh đề điều kiện có nghĩa là biểu thức ``ID container không phải là máy chủ''
Cũng có thể nhúng các Macro khác nhau trong một Macro

Thông tin tham khảo:
tỷ lệ cá cược trực tiếp -
Macro -

Ví dụ về sử dụng tỷ lệ cá cược trực tiếp và Macro

yaml
- macro: container
  condition: container.id != host

- list: shell_binaries
  items: [bash, csh, ksh, sh, tcsh, zsh, dash]

- macro: shell_procs
  condition: proc.name in (shell_binaries)

- rule: shell_in_container
  desc: notice shell activity within a container
  condition: >spawned_process và

Trong số trên, chỉ có điều kiện của quy tắc shell_in_container là điều kiện để thông báo cảnh báo
tỷ lệ cá cược trực tiếp và Macro có tên shell_binaries và shell_procs được sử dụng cho điều kiện này

Điều kiện của shell_in_container được hiểu đại khái như sau

Khi một quy trình mới được khởi chạy và

Đây là quy tắc thông báo cảnh báo khi một hoạt động như docker exec <container name> /bin/sh được kích hoạt, nhưng bạn có thể thấy rằng nó được viết chính xác bằng cách sử dụng tỷ lệ cá cược trực tiếp và Macro

Bài kiểm tra hiểu

Tôi hy vọng bạn đã hiểu sâu hơn về tỷ lệ cá cược trực tiếp và Macro
Cuối cùng, chúng tôi sẽ đặt câu hỏi để kiểm tra mức độ hiểu biết của bạn Xin hãy suy nghĩ về nó một cách cẩn thận

Sự cố
1 Khi sử dụng tỷ lệ cá cược trực tiếp có tên "q1_list" và quy trình có procname [cat, echo] Vui lòng tạo Macro "q1_macro" với điều kiện sau

Trả lời
Bài toán 1:
- tỷ lệ cá cược trực tiếp: q1_list
mục: [mèo, tiếng vang]

- macro: q1_macro
điều kiện: procname trong (q1_list)

Cuối cùng

Lần này tôi đã giải thích cách hoạt động của tỷ lệ cá cược trực tiếp và Macro Tôi hy vọng điều này sẽ giúp ích cho những người mới học Falco

Chúng tôi hy vọng sẽ tiếp tục cung cấp thông tin về Quy tắc Falco trong tương lai

Giới thiệu người phụ trách

Người phụ trách

Watanabe

Bình luận

Tôi yêu thích mật mã Khi màn hình đầu cuối xuất hiện trong anime hoặc phim truyền hình, tôi luôn kiểm tra xem nội dung có chính xác không

Trình độ chuyên môn

Quản trị viên Kubernetes được chứng nhận
Nhà phát triển ứng dụng Kubernetes được chứng nhận