Falco是一款为Linux系统设计的云原生安全工具，可以用于监控Kubernetes上应用的运行时异常活动。通过Logtail可将Falco产生的容器运行时告警事件传输至LogStore进行查询分析。
使用限制
日志审计内使用Logtail目前仅支持Kubernetes和Docker场景的Falco告警事件采集。
1. 安装Falco
安装Falco请参见Falco安装文档。
2. 配置Logtail组件
2.1 安装Logtail组件
阿里云Kubernetes集群和自建Kubernetes集群，请参见安装Logtail组件（阿里云Kubernetes集群）和安装Logtail组件（自建Kubernetes集群）。
2.2 配置Logtail
-
登录日志服务控制台。在日志应用区域的审计与安全页签，单击新版日志审计服务。
-
在新版日志审计页面，单击已有的关联Project名称。或者单击关联Project，创建新的关联Project。
页面中展示已关联的 Project 列表，包含 Project、注释、地域、操作 列，在 操作 列可单击 详情 查看项目信息或单击 取消关联 移除关联关系。
-
在左侧导航栏，选择数据接入>运行时，单击创建Logtail配置，在下拉列表单击Falco。
-
在机器组配置页面，选择目标机器组，单击下一步。
在源机器组面板中勾选目标机器组，单击 > 将其添加至应用机器组面板。
-
在Logtail 配置页面已默认配置相关参数，单击页面下方的完成。
重要Faclo默认将告警事件输出到标准输出。日志服务提供DaemonSet方式采集容器标准输出，因此您需要通过DaemonSet-控制台方式采集容器标准输出完成日志采集。如果Falco将告警事件输出到固定的文件，您可以通过DaemonSet-控制台方式采集容器文本日志进行日志采集。
2.3 验证配置结果
配置Logtail组件后，日志服务会自动在关联Project下创建如下资源。
-
名称为
falco-pipelineconfig的Logtail采集配置。在左侧导航栏单击数据接入 > 运行时，即可在Logtail配置列表中查看到该配置。
-
名称为
falco-log的LogStore。在左侧导航栏中单击运行时，选择Falco页签即可查看该 Logstore 及其查询界面。
3. 查询分析日志
在左侧导航栏选择查询分析>运行时，单击Falco页签。Falco采集的日志字段说明，请参见Falco运行时日志字段说明。查询语法，请参见查询语法与功能。
页面显示 falco-log 日志库及其查询界面，可在查询栏中输入查询语句查看 Falco 采集的运行时日志。
相关文档
-
Falco产生的容器运行时告警事件传输至LogStore各个字段的含义，请参见Falco运行时日志字段说明。
-
将Falco产生的容器运行时告警事件传输至LogStore后，您可以在报表中心查看运行时告警概览。