Anatomía de una regla

Las reglas de Falco se escriben en YAML con tres elementos. Una lista es una colección de valores con nombre, como los shells conocidos. Una macro es un fragmento de condición que se reutiliza, como «el evento ocurrió dentro de un contenedor». Una regla reúne una condición, una descripción, un mensaje de salida y una prioridad. Una regla necesita cinco claves: rule, desc, condition, output y priority; las demás, como tags o enabled, son opcionales.

Las listas y las macros existen para no repetir ni equivocarse: si cambia lo que se entiende por «contenedor», se corrige en un solo sitio. Abre reglas/reglas-chitaga.yaml y lee los primeros bloques.

La condición es una expresión que se evalúa con cada evento. Mezcla un tipo de evento (evt.type), los datos del proceso (proc.name), del archivo (fd.name) o del pod (k8s.pod.name). Solo cuando la expresión completa es verdadera, la regla produce una alerta. Por eso, una regla se lee de dentro hacia fuera: primero qué evento, luego sobre qué, y al final qué excluir.

La regla de shell no vigila todo el clúster: se limita con una macro a un único espacio de nombres. Lo que no cumple esa macro no genera alerta, aunque abra un shell.

La prioridad ordena las alertas por gravedad. De más grave a menos grave: EMERGENCY, ALERT, CRITICAL, ERROR, WARNING, NOTICE, INFORMATIONAL y DEBUG. Sirve para decidir quién se entera y con qué urgencia, y el sensor puede configurarse para no emitir por debajo de un nivel mínimo.

La clave enabled: false apaga una regla sin borrarla. Es cómoda, pero deja un hueco que nadie ve: una regla apagada no avisa de que lo está. Revisa el archivo y localiza la regla apagada cuya prioridad es ERROR.

Contar reglas por prioridad dice dónde está la apuesta del equipo: muchas reglas graves y encendidas indican que se vigila lo crítico; muchas apagadas, que alguien las desactivó por ruido y no volvió. Una regla sin enabled: false está encendida en el archivo, aunque otra cosa, como un error de carga, pueda impedir que funcione.

Lee las seis reglas del archivo y cuenta las que NO están marcadas como desactivadas y tienen prioridad CRITICAL o una más grave.

La salida de una regla (output) es el mensaje de la alerta. Lleva campos entre %, como %proc.name. Si un campo está mal escrito, el sensor no sabe qué poner: según el caso rechaza la regla o la carga sin ese dato. Es un fallo silencioso si nadie lee la salida de arranque, porque la regla se ve completa en el archivo, y el sensor arranca sin ella.

Lee sensor/arranque.txt: una regla no está activa por un error de carga. Compara los campos de su salida con reglas/campos-validos.txt.