FalcoSecurity.Plugin.Sdk

Falcosecurity.plugin.sdk

SDK de plugin Falco non officiel pour .NET, alimenté par les exportations natives DNNE et la gestion de la mémoire native Net6 +.

Wiki

Pour un exemple complet et des informations sur la façon dont cela fonctionne, consultez le wiki!

Packages NuGet

		dessiner	changelog
Falcosecurity.plugin.sdk		Types de sdk plugin de base	ChangeLog.md
Falcosecurity.plugin.sdk.generators		Générateurs source pour les exportations natives	ChangeLog.md
Falcosecurity.plugin.sdk.template		Modèle de projet dotnet new falcoplugin

Plugin factice

 [ FalcoPlugin (
    Id = 999 ,
    Name = "dummy_plugin" ,
    Description = "A dummy plugin" ,
    Contacts = "mvenditto" ,
    RequiredApiVersion = "2.0.0" ,
    Version = "1.0.0" ) ]
public class Plugin : PluginBase , IEventSource , IFieldExtractor {
    public string EventSourceName => "dummy_source" ;

    public IEnumerable < string > EventSourcesToExtract 
        => Enumerable . Empty < string > ( ) ; // only consume ourselves event-source

    public IEnumerable < OpenParam > OpenParameters => 
        => Enumerable . Empty < string > ( ) ; // no specific open-params

    public IEnumerable < ExtractionField > Fields => new List < ExtractionField > {
        new ( type : "uint64" ,
            name : "dummy.counter" ,
            display : "Counter value" ,
            desc : "Current value of the internal counter" )
    } ;

    public IEventSourceInstance Open ( IEnumerable < OpenParam > ? openParams ) {
        return new CounterInstance ( ) ;
    }
    
    public void Close ( IEventSourceInstance instance ) {
        instance . Dispose ( ) ;
    }

    public void Extract ( IExtractionRequest extraction , IEventReader evt ) {
        var counter = BitConverter . ToInt32 ( evt . Data ) ;
        extraction . SetValue ( ( ulong ) counter ) ;
    }
}

public class CounterInstance : PullEventSourceInstance {
    public int Counter { get ; set ; }

    public CounterInstance ( ) : base ( batchSize : 10 , eventSize : 8 ) {
        Counter = 1 ;
    }

    protected override void PullEvent ( EventSourceInstanceContext ctx , IEventWriter evt ) {
        var unixNano = ( ulong ) DateTimeOffset . Now . ToUnixTimeSeconds ( ) * 1000000000 ;

        evt . Write ( BitConverter . GetBytes ( Counter ) ) ;

        evt . SetTimestamp ( unixNano ) ;

        if ( Counter >= 50 ) {
            ctx . IsEof = true ;
        }

        Counter += 1 ;
    }
} 

- rule : Dummy counter rule
  desc : Dummy counter equals 42
  condition : (dummy.counter=42)
  output : dummy.counter is 42 value=%dummy.counter
  priority : DEBUG
  source : dummy_source
  tags : [dummy]

 admin @ quelque part: ~ $ arbre / usr / share / falco
/ usr / share / falco /
Plugins
    ├fiques
    ├fiques
    └fique
        ├fiquesl
        ├fiques-falcosecurity.plugin.sdk.dll
        ├── Falcosecurity.plugin.sdk.dummyplugin.dll
        ├fique
        └fiques-falcosecurity.plugin.sdk.dummyplugin.runtimeconfig.json
        
admin @ quelque part: ~ $ falco --enable-source dummy_source
Sam 5 novembre 18:08:52 2022: Version FALCO: 0,33.0 (x86_64)
[...TRONQUÉ...]
Sam 5 novembre 18:08:52 2022: Sources d'événements activés: mannequin_source
Sam 5 novembre 18:08:52 2022: Source de l'événement d'ouverture 'Dummy_source'
Sam 5 novembre 18:08:52 2022: Capture d'ouverture avec plugin 'dummy_plugin'
Sam 5 novembre 18:08:52 2022: Source de l'événement de clôture 'Dummy_source'
18: 08: 52.000000000: Debug Dummy.Counter est 42 valeur = 42
Événements détectés: 1
Le nombre de règles par gravité:
   Débogue: 1
Règles déclenchées par nom de règle:
   Règle de comptoir factice: 1

admin @ quelque part: ~ $ █

Note

Ce SDK n'est pas officiel et n'est pas associé ni approuvé par Sysdig et Falcosecurity / Falco