Kubernetesでは、コンテナの一時的な特性と階層的な抽象化がネットワークトラフィックの管理と分析に特有の課題を生じさせます。
従来のツール如くWiresharkはこれらの複雑さに適応するのに苦労し、不要なデータを捕捉してしまうことが多いです。
ポッドが再作成されると、新しいIPアドレスや名前が生成され、セキュリティインシデントのトレースが困難になります。
FalcoはKubernetesの文脈を理解し、Wiresharkと組み合わせることで、ネットワークデータと監査ログの間のギャップを埋めることが可能です。
また、PCAPファイルの過剰データ問題に対して、AWS VPCトラフィックミラーリングやGCPトラフィックミラーリングなどの戦略は、膨大な量のデータを生成しますが、重要な情報の迅速な特定が難しくなるため、AWS VPCフローログやAzureの仮想ネットワークタップが代替の選択肢として提案されます。
FalcoとFalco Talonは、Kubernetes環境での効果的なネットワークトラフィック分析を目指し、イベント駆動型APIアプローチを採用し、具体的なネットワークコンテキストに合わせたネットワークトラフィックのキャプチャーを実現します。