Стадия жизненного цикла модуля: Общедоступная версия

У модуля есть требования для установки

v1.1.14

Дата релиза: 2026-09-25

Falco 0.45.0 с изменённым сравнением строк в условиях правил, обновлённые falcoctl, k8s-metacollector и плагин k8smeta, устранённые уязвимости в образах модуля и более чистые логи falco и rules-preload.

Ключевые изменения

Изменения в этом релизе:

  • Модуль работает на Falco 0.45.0. Перед обновлением проверьте пользовательские FalcoAuditRules, которые сравнивают поля с невалидным UTF-8 или с символом замены.
  • falco больше не перезапускается циклически на узлах, имя которых состоит только из цифр.
  • Устранены известные уязвимости (CVE) в falcosidekick и falcoctl.
  • falco больше не выводит предупреждение для каждого встроенного макроса и списка, который не использует ни одно включённое встроенное правило.

Новый функционал

В этом релизе добавлено:

  • В условии FalcoAuditRules можно сравнивать отдельный байт с помощью escape-последовательности \xHH, например proc.name = "a\x00b", а строковые операторы находят невалидные и непечатаемые последовательности UTF-8.

Улучшения

В этом релизе улучшено:

  • При каждой загрузке правил falco выводил предупреждение LOAD_UNUSED_MACRO или LOAD_UNUSED_LIST для каждого встроенного макроса и списка, на который не ссылалось ни одно включённое встроенное правило: три при настройках по умолчанию, около двадцати при значении false в параметре builtInRulesTypes.k8sAudit. Эти макросы и списки по-прежнему доступны пользовательским правилам, а предупреждений больше нет. В FalcoAuditRules fstec и d8integritycheck появились выключенные правила с именем <RULE_SET> unused macros and lists (<SOURCE>), которые ссылаются на них; Falco никогда не применяет эти правила к событиям.
  • Init-контейнер rules-preload больше не выводит при запуске предупреждение Neither --kubeconfig nor --master was specified.

Исправления

В этом релизе исправлено:

  • Контейнер falco пода runtime-audit-engine циклически перезапускался на узле, имя которого состоит только из цифр, например 123456: плагин k8smeta отклонял такое имя узла при запуске. Теперь плагин его принимает.

Обновления безопасности

Обновления безопасности в этом релизе:

  • Образы модуля пересобраны с обновлёнными Go-зависимостями для устранения CVE-2026-81871 и CVE-2026-81870 в falcosidekick и CVE-2026-81870 в falcoctl.

Несовместимые изменения

Изменения, влияющие на обратную совместимость:

  • Falco вычисляет строковые операторы условий правил — =, contains, startswith, in и другие — по исходным байтам поля, а не по значению, в котором невалидный UTF-8 уже заменён символом замены U+FFFD. Условие, которое сравнивало поле с U+FFFD таким оператором, больше не срабатывает. Оператор regex по-прежнему работает с очищенным значением. Перед обновлением проверьте пользовательские FalcoAuditRules, которые сравнивают поля с U+FFFD, и перепишите их с escape-последовательностью \xHH или с оператором regex.
  • В выводе события Falco экранирует непечатаемые символы и заменяет невалидные последовательности UTF-8 при кодировании вывода. Проверьте парсеры получателей событий, например SIEM, если они рассчитаны на прежний вид таких значений полей.

Зависимости

Обновления зависимостей:

  • falco: 0.44.1 → 0.45.0 (changelog)

    • Включает libs 0.26.0 и версию движка правил 0.63.0.

  • falcoctl: 0.14.0 → 0.14.2 (changelog)

    • Только обновление зависимостей, поведение модуля не меняется.

  • k8s-metacollector: 0.1.3 → 0.1.4 (changelog)

    • Только обновление зависимостей, поведение модуля не меняется.

  • k8smeta: 0.4.1 → 0.4.2 (changelog)

v1.1.13

Дата релиза: 2026-09-23

Исправления в запросах ресурсов рабочих нагрузок модуля и в объектах VerticalPodAutoscaler.

Ключевые изменения

Изменения в этом релизе:

  • Модуль устанавливается при значении Static в параметре resourcesRequests.mode.
  • Контейнеры модуля работают с теми запросами ресурсов (requests), которые задаёт модуль.
  • falco получает правила до первого запуска и больше не перезагружается посреди собственной инициализации.

Исправления

В этом релизе исправлено:

  • Объект VerticalPodAutoscaler для k8s-metacollector отклонялся API-сервером при значении Static в параметре resourcesRequests.mode, и установка модуля завершалась ошибкой. Теперь объект соответствует схеме VPA.
  • Контейнеры k8s-metacollector и kube-rbac-proxy запускались без запросов ресурсов (requests) по CPU и памяти в кластере, где зарегистрирован CRD VerticalPodAutoscaler. Теперь запросы задаются всегда.
  • Контейнеры falco, falcosidekick, rules-loader и kube-rbac-proxy в DaemonSet запускались без запросов ресурсов (requests) по CPU и памяти, если объект VerticalPodAutoscaler для них не создавался — модуль vertical-pod-autoscaler выключен или в кластере нет его CRD, — а параметр resourcesRequests.mode сохранял значение по умолчанию VPA. Теперь в этом случае запросы задаёт сам модуль.
  • Объект VerticalPodAutoscaler для k8s-metacollector больше не создаётся, если модуль vertical-pod-autoscaler выключен.
  • Под runtime-audit-engine при первом запуске мог провести до 15 минут в статусе NotReady, после чего контейнер falco убивал startupProbe. falco стартовал с пустым каталогом правил, первая запись правил заставляла его перезагрузиться, и при перезагрузке зависало подключение плагина k8smeta к k8s-metacollector. Теперь правила попадают в каталог до старта falco, а повторная синхронизация не переписывает файлы с прежним содержимым. Если правила не удалось прочитать вовремя, на поде появляется предупреждающее событие FalcoRulesPreloadFailed, а falco стартует как раньше.

v1.1.11

Дата релиза: 2026-09-18

Исправлено отклонение FalcoAuditRules на узлах Astra Linux с включённой замкнутой программной средой (ЗПС). Сбой самого валидатора больше не выдаётся за некорректный набор правил.

Ключевые изменения

Изменения в этом релизе:

  • FalcoAuditRules создаются и изменяются на узлах Astra Linux, где замкнутая программная среда (ЗПС) проверяет цифровые подписи. Раньше одного запроса хватало, чтобы эндпоинт вебхука начал отклонять любой набор правил до пересоздания пода.
  • Под rules-loader, которому не удалось запустить валидатор, возвращает ошибку вместо вердикта, поэтому применяется настроенный failurePolicy и запись не блокируется.

Новый функционал

В этом релизе добавлено:

  • Добавлен алерт D8RuntimeAuditEngineRulesNotValidated. Он срабатывает, когда валидирующий вебхук rules-loader не может запустить валидатор и при failurePolicy: Ignore принимает FalcoAuditRules без проверки. Иначе это состояние незаметно: записи проходят успешно, и ничто о нём не сообщает.

Исправления

В этом релизе исправлено:

  • Создание или изменение любого FalcoAuditRules могло завершиться ошибкой admission webhook "d8-runtime-audit-engine.deckhouse.io" denied the request: spec validation error: falco -V failed: signal: segmentation fault и повторялось, пока жив под rules-loader. Это происходило на узлах Astra Linux с включённой замкнутой программной средой (ЗПС): ядро проверяет подпись исполняемого файла falco при первом запуске непривилегированным процессом, и для файла размером 326 МБ это занимает несколько секунд, а rules-loader отводил на запуск 5 секунд и затем убивал процесс. Прерванную проверку ядро запоминает как неуспешную, поэтому все последующие запуски того же файла завершались SIGSEGV. Теперь rules-loader проверяет исполняемый файл при старте, до того как вебхук начинает принимать запросы, и не прерывает проверку подписи по короткому таймауту.
  • Под rules-loader, которому не удавалось запустить falco, возвращал результат allowed: false: присланный FalcoAuditRules отклонялся, а failurePolicy: Ignore не срабатывал, потому что для API-сервера вебхук отвечал успешно. Теперь такой сбой возвращается как ошибка и применяется настроенный failurePolicy. Набор правил, который falco отверг, по-прежнему отклоняется — и когда он не смог скомпилировать правила, и когда не совпали требуемые правилами версии плагинов.
  • Наборы правил отклонялись, если сломан был не набор правил, а окружение самого валидатора: falco завершается с одним и тем же кодом возврата и когда нашёл ошибку в правилах, и когда не смог прочитать свой конфигурационный файл или загрузить плагин. rules-loader различал эти случаи по коду возврата и во втором случае отклонял любой FalcoAuditRules. Теперь, если falco завершается с ошибкой, ничего не сообщив о присланных правилах, rules-loader повторно запускает его на заведомо корректном наборе правил: если тот по-прежнему проходит проверку, значит валидатор исправен и дело в присланных правилах.

v1.1.10

Дата релиза: 2026-09-09

События syscall теперь содержат неймспейс Kubernetes и имя пода. Исправлено удаление неймспейса модуля при каждом обновлении релиза. Обновление DaemonSet переживает медленный старт Falco, добавлены алерт и метрика синхронизации правил, восстановлен документированный алерт о критических событиях, образы пересобраны с устранением известных уязвимостей (CVE).

Ключевые изменения

Изменения в этом релизе:

  • Неймспейс d8-runtime-audit-engine больше не удаляется и не создаётся заново при каждом обновлении релиза — раньше это приводило к перезапуску kube-apiserver и зацикливанию обновлений модуля.
  • События правил типа syscall теперь содержат неймспейс Kubernetes и имя пода, поэтому нагрузку больше не нужно определять только по идентификатору контейнера.
  • Falco получает больше времени на переподключение к k8s-metacollector при старте, а обновление DaemonSet выполняется параллельными группами узлов: обновление модуля больше не перезапускает Falco во время старта и не занимает часы на большом кластере.
  • Готовность пода rules-loader больше не означает, что FalcoAuditRules синхронизированы, — за этим теперь следят отдельные алерт и метрика.
  • Образы модуля пересобраны с обновлёнными зависимостями, что устраняет известные уязвимости (CVE), и содержат OpenVEX-утверждения для неприменимых находок.

Новый функционал

В этом релизе добавлено:

  • Вывод каждого правила типа syscall теперь завершается полями ns=<НЕЙМСПЕЙС> pod=<ИМЯ_ПОДА>, которые определяются по идентификатору контейнера через сокет container runtime. Эти же два значения добавляются в свойство output_fields вывода в формате JSON — как k8s.ns.name и k8s.pod.name, что также заполняет лейблы k8s_ns_name и k8s_pod_name метрики falcosecurity_falcosidekick_falco_events_total. Правила типа k8sAudit не изменились: они и раньше передавали ns и pod из события аудита Kubernetes.
  • Добавлен алерт D8RuntimeAuditEngineRulesNotSynced — срабатывает, если под rules-loader не завершил синхронизацию FalcoAuditRules.
  • Добавлена метрика falco_rules_loader_webhook_up, которая показывает, поднят ли HTTPS-слушатель validating-вебхука. Именно это условие теперь отражает readiness-проба rules-loader.

Улучшения

В этом релизе улучшено:

  • Обновление DaemonSet теперь затрагивает до 25% узлов одновременно вместо одного узла за раз — это исключает многочасовые обновления на больших кластерах.
  • Алерт D8RuntimeAuditEngineNotScheduledInCluster срабатывает через 20 минут вместо 15, поэтому медленное, но успешное обновление больше не приводит к ложному срабатыванию.
  • Параметр resourcesRequests.vpa.scopeLabel проверяется как ключ метки Kubernetes: некорректное значение отклоняется на уровне ModuleConfig, а не приводит к неработоспособной конфигурации VPA.
  • Документация модуля, OpenAPI-схемы и справочник CRD доступны, даже если модуль не установлен в кластере.

Исправления

В этом релизе исправлено:

  • Манифесты Namespace и SecurityPolicyException были помечены как хуки Helm без helm.sh/hook-delete-policy, то есть с политикой по умолчанию before-hook-creation: при каждом обновлении релиза неймспейс удалялся и создавался заново вместе с TLS-секретом вебхука, конфигурационной картой control-plane-configurator и рабочими нагрузками. Потеря конфигурационной карты заставляла control-plane-manager пересоздавать kube-apiserver, потеря секрета меняла values модуля, а отсутствующие нагрузки фиксировались как пропавшие ресурсы Helm — каждое из этих событий запускало новый запуск модуля, и обновления шли по кругу. Оба манифеста снова стали обычными ресурсами чарта, как это было до версии 1.1.5.
  • Добавлен grace-период на старт Falco длительностью до 900 секунд: медленное переподключение к k8s-metacollector больше не приводит к перезапуску по liveness-пробе (раньше это было возможно уже примерно на 105-й секунде).
  • Пример алерта в FAQ выбирал falcosecurity_falcosidekick_falco_events_total{priority="Critical"}. Лейбл priority содержит число, а текстовое название уровня перенесено в priority_raw строчными буквами, поэтому выражение не выбирало ни одной серии и алерт не срабатывал. Теперь используется priority_raw="critical".

Обновления безопасности

Обновления безопасности в этом релизе:

  • Образы модуля пересобраны с обновлёнными зависимостями, что устраняет известные уязвимости (CVE). Устранены CVE-2026-56854, CVE-2026-56855 и CVE-2026-78662 в golang.org/x/crypto, CVE-2026-84303, CVE-2026-84304 и CVE-2026-84445 в google.golang.org/grpc, CVE-2026-56864 и CVE-2026-56865 в golang.org/x/mod, а также CVE-2026-79921 в github.com/rabbitmq/amqp091-go.
  • В образы event-generator, falcosidekick, rules-loader и в образ бандла модуля добавлены OpenVEX-утверждения для GO-2026-5932. Уязвимость помечена как not affected: пакет golang.org/x/crypto/openpgp не находится на пути исполнения этих образов.

Рекомендации по обновлению

Перед обновлением учтите следующее:

  • На кластерах с версиями 1.1.5 и 1.1.6 обновление до этой версии — последнее, при котором неймспейс удаляется. Ожидайте один финальный перезапуск kube-apiserver и несколько минут нестабильной работы модуля, после чего обновления перестанут затрагивать неймспейс.
  • Готовность пода runtime-audit-engine больше не зависит от завершения синхронизации FalcoAuditRules в rules-loader — только от готовности validating-вебхука. Если автоматика или дашборды используют Ready пода как признак того, что правила полностью применены, переключите их на алерт D8RuntimeAuditEngineRulesNotSynced (основан на метрике falco_rules_loader_ready).
  • События правил типа syscall содержат два дополнительных поля в конце текста сообщения: ns и pod. Если вы сопоставляете сообщение Falco выражением, привязанным к его концу, измените это выражение. Потребителей, которые читают свойство output_fields вывода в формате JSON, изменение не затрагивает — в нём лишь появляются k8s.ns.name и k8s.pod.name.

Известные ограничения

Известные ограничения этого релиза:

  • Поля ns и pod события syscall могут быть пустыми: для активности, возникшей вне контейнера, и для самых первых событий короткоживущего контейнера, метаданные которого Falco собирает асинхронно через сокет container runtime. Соответствующие лейблы метрики в этом случае тоже отсутствуют, поскольку пустой лейбл Prometheus отбрасывает. Поэтому не строите PromQL-запрос на лейблах k8s_ns_name или k8s_pod_name — такой селектор пропустит и все события k8sAudit. Если требуется обогащение, не зависящее от этого момента, обрабатывайте события через модуль security-events-manager — он обогащает их на стороне пайплайна сборки событий.

Документация

Изменения в документации:

  • На страницу расширенной настройки добавлен раздел о метаданных Kubernetes в выводе событий. В нём описаны поля ns и pod, заполняемые ими лейблы метрики, а также условия, при которых они пусты.
  • В раздел о метриках на странице расширенной настройки добавлено соответствие значений priority и priority_raw.
  • В разделе FAQ об оповещениях основным способом указан модуль security-events-manager.
  • Из раздела о метриках убрано утверждение, что Grafana-дашборд появится в будущем. Модуль поставляет дашборд Runtime audit engine, и теперь в разделе описано, что он показывает.
  • В разделе о метриках и в FAQ добавлено предупреждение: событие, пришедшее без приоритета, экспортируется с пустым priority_raw, и ни один селектор по priority_raw его не выбирает. Если алерт должен учитывать такие события, в него нужно добавить условие по priority.

Зависимости

Обновления зависимостей:

  • falcosidekick: 2.34.1 → 2.35.0 (changelog)

    • Добавлены настройки TLS и CA-сертификата для приёмников OTLP, исправлено состояние гонки при нескольких настроенных приёмниках. Модуль настраивает один приёмник, поэтому поведение в кластере не меняется.

  • falcoctl: 0.13.0 → 0.14.0 (changelog)

    • Отклоняет символические и жёсткие ссылки при распаковке архива tar.gz. Модуль поставляет бинарный файл falcoctl в образе rules-loader, но никогда его не вызывает, поэтому поведение в кластере не меняется.

v1.1.6

Дата релиза: 2026-08-19

Компонент rules-loader переписан на Go, на валидирующем вебхуке FalcoAuditRules включён mTLS, добавлен параметр builtInRulesTypes, вывод Falco обогащён метаданными пода, устранены ложные срабатывания по путям containerd и файлам блокировок LVM.

Ключевые изменения

Изменения в этом релизе:

  • Компонент rules-loader переписан на Go, из образа убраны shell-operator и Python-рантайм.
  • Валидирующий вебхук FalcoAuditRules требует и проверяет клиентские сертификаты, поэтому обращаться к нему может только API-сервер Kubernetes.
  • Добавлен параметр builtInRulesTypes для отключения встроенных правил по типу источника событий; правила k8sAudit также отключаются автоматически при включённом модуле security-events-manager.
  • В события Falco по syscall добавлены неймспейс пода, имя пода и сервисный аккаунт через плагин k8s_pod_info.
  • Устранены ложные срабатывания по временным, ingest- и sandbox-путям containerd и по файлам блокировок LVM.

Новый функционал

В этом релизе добавлено:

  • Добавлен параметр builtInRulesTypes для отключения встроенных правил по типу источника событий (k8sAudit, syscall).
  • Встроенные правила k8sAudit отключаются автоматически при включённом модуле security-events-manager, чтобы не дублировать события аудита Kubernetes.
  • SSH-правило разделено на Inbound SSH Connection Attempt (TCP accept, до аутентификации) и Inbound SSH Connection (execve после аутентификации, с захватом имени пользователя).
  • В вывод Falco-правил для containerd на узле добавлены proc.aname[1], proc.aname[3] и proc.vpid для дополнительного контекста процесса.
  • В вывод Falco-правил syscall и в SecurityEvents добавлены неймспейс пода, имя пода и сервисный аккаунт — они определяются по container ID через плагин k8s_pod_info.

Улучшения

В этом релизе улучшено:

  • Компонент rules-loader переписан с shell-operator и Python-хуков на Go: в образе больше нет рантайма shell-operator и Python-зависимостей.
  • Контейнер falco работает с профилем AppArmor Unconfined: профиль containerd по умолчанию запрещает ptrace, который нужен Falco для обогащения событий данными из /proc/<pid>.

Исправления

В этом релизе исправлено:

  • Временные файлы containerd .tmp-status* и пути io.containerd.content.v1.content/ingest исключены из правил Write below containerd images dir и Read below containerd images dir.
  • Директория containerd sandbox (sandboxes/) исключена из правил Write below containerd images dir и Read below containerd images dir — это легитимные операции containerd с метаданными sandbox.
  • Файлы блокировок LVM (/run/lock/lvm/), создаваемые lvm, lvs, vgs и pvs, исключены из правила Container drift detected (open+create) — LVM создаёт свои flock-файлы с режимом 0777, и это не дрейф контейнера.
  • Regex-шаблоны security events привязаны к JSON-полю "output":" Falco, чтобы исключить ложные срабатывания из логов валидации rules-loader.
  • В вывод Falco-правил SSH добавлен user.uid, а также metadata.extra для дополнительного контекста процесса.

Обновления безопасности

Обновления безопасности в этом релизе:

  • Валидирующий вебхук FalcoAuditRules требует и проверяет клиентские сертификаты по кластерному CA клиентов admission-вебхуков, поэтому запросы AdmissionReview может присылать только API-сервер Kubernetes.
  • Образы модуля пересобраны с обновлёнными Go-зависимостями для устранения известных уязвимостей (CVE) в falcoctl, falcosidekick, k8s-metacollector, event-generator и rules-loader.

Несовместимые изменения

Изменения, влияющие на обратную совместимость:

  • Модуль требует Kubernetes версии 1.31 или выше и не устанавливается в кластеры более старых версий: он задаёт профиль AppArmor через поле securityContext, которое доступно только начиная с этой версии. Обновите кластер до Kubernetes 1.31 или выше перед обновлением модуля.

Рекомендации по обновлению

Перед обновлением учтите следующее:

  • Если включён модуль security-events-manager и встроенные правила k8sAudit нужно сохранить, задайте builtInRulesTypes.k8sAudit в значение true явно: иначе эти правила больше не рендерятся.

Зависимости

Обновления зависимостей:

  • kubernetes: >= 1.31

    • Нужна для поля appArmorProfile в securityContext.

v1.1.4

Дата релиза: 2026-07-21

Обновлены Falco до 0.44.1, Falcosidekick до 2.34.1 и связанные компоненты; именованный порт вебхука 4227 перенесён из контейнера falcosidekick в rules-loader.

Ключевые изменения

Изменения в этом релизе:

  • Falco обновлён до версии 0.44.1.
  • Falcosidekick обновлён до версии 2.34.1.
  • k8s-metacollector обновлён до версии 0.1.3.
  • Плагин k8saudit обновлён до версии 0.18.0.
  • Именованный порт вебхука 4227 теперь относится к контейнеру rules-loader.

Улучшения

В этом релизе улучшено:

  • Именованный порт вебхука 4227 перенесён из контейнера falcosidekick в контейнер rules-loader.

Обновления безопасности

Обновления безопасности в этом релизе:

  • Обновления компонентов в этом релизе устраняют известные уязвимости (подробности в разделе «Зависимости»).

Зависимости

Обновления зависимостей:

  • falco: 0.43.1 → 0.44.1

  • falcosidekick: 2.33.0 → 2.34.1

  • k8s-metacollector: 0.1.2 → 0.1.3

  • k8saudit: 0.17.0 → 0.18.0

v1.1.3

Дата релиза: 2026-05-21

Добавлена документация по встроенным правилам, новые настройки Vertical Pod Autoscaler (VPA) и LimitRange, очистка не-ASCII вывода Falco, а также обновлены Falcoctl, event-generator и плагины.

Ключевые изменения

Изменения в этом релизе:

  • В документации описаны встроенные правила, поставляемые с модулем.
  • Можно настроить отдельный расчёт VPA по лейблу узла и LimitRange для подов модуля.
  • Из вывода Falco удаляются символы, отличные от ASCII.
  • Обновлены Falcoctl, event-generator и плагины k8saudit / json.

Новый функционал

В этом релизе добавлено:

  • Добавлена настройка модуля для отдельного расчёта VPA подов runtime-audit-engine в зависимости от лейбла узла (по умолчанию включено для Deckhouse версии 1.76 и выше).
  • Добавлена настройка модуля для задания LimitRange для подов в неймспейсе runtime-audit-engine.
  • Добавлена очистка вывода Falco от символов, отличных от ASCII.

Обновления безопасности

Обновления безопасности в этом релизе:

  • Обновления компонентов в этом релизе устраняют известные уязвимости (подробности в разделе «Зависимости»).

Рекомендации по обновлению

Перед обновлением учтите следующее:

  • В этом релизе удаляется LimitRange, ранее введённый из-за утечки памяти в Falco, и по умолчанию включается VPA.
  • После обновления проверьте и при необходимости настройте новые параметры LimitRange и VPA модуля.

Документация

Изменения в документации:

  • Добавлена страница документации с описанием встроенных правил, поставляемых с модулем.

Зависимости

Обновления зависимостей:

  • falcoctl: 0.13.0

  • event-generator: 0.13.0

  • k8saudit: 0.16.1 → 0.17.0

  • json: 0.7.4

v1.1.2

Дата релиза: 2026-04-30

Модуль адаптирован для редакции CSE Deckhouse Kubernetes Platform (DKP).

Ключевые изменения

Изменения в этом релизе:

  • Модуль подготовлен к работе в редакции CSE DKP.

Улучшения

В этом релизе улучшено:

  • Скорректированы параметры упаковки и рантайма, необходимые для кластеров CSE.

v1.1.1

Дата релиза: 2026-04-27

Обновлены Falco до 0.43.1, Falcosidekick до 2.33.0, а также связанные коллекторы и плагины, включая CVE-ориентированные исправления компонентов.

Ключевые изменения

Изменения в этом релизе:

  • Falco обновлён до версии 0.43.1.
  • Falcosidekick обновлён до версии 2.33.0.
  • k8s-metacollector обновлён до версии 0.1.2.
  • Обновлены плагины k8saudit и k8smeta.
  • В компоненты модуля включены CVE-ориентированные исправления.

Обновления безопасности

Обновления безопасности в этом релизе:

  • Применены CVE-ориентированные исправления в образах компонентов.
  • Обновления компонентов в этом релизе устраняют известные уязвимости (подробности в разделе «Зависимости»).

Зависимости

Обновления зависимостей:

  • falco: 0.43.0 → 0.43.1

  • falcosidekick: 2.33.0

  • k8s-metacollector: 0.1.2

  • k8saudit: 0.16.1

  • k8smeta: 0.4.1

v1.1.0

Дата релиза: 2026-02-27

Обновлены Falco до 0.43.0 и Falcoctl до 0.12.2, включая CVE-ориентированные исправления в сервисах модуля.

Ключевые изменения

Изменения в этом релизе:

  • Falco обновлён до версии 0.43.0.
  • Falcoctl обновлён до версии 0.12.2.
  • В сервисы модуля включены CVE-ориентированные исправления.

Обновления безопасности

Обновления безопасности в этом релизе:

  • Обновления компонентов в этом релизе устраняют известные уязвимости (подробности в разделе «Зависимости»).
  • Применены CVE-ориентированные исправления в образах сервисов модуля.

Зависимости

Обновления зависимостей:

  • falco: 0.43.0

    • Обновление движка рантайм-детекции.

  • falcoctl: 0.12.2

    • Обновление утилит Falco.

v1.0.11

Дата релиза: 2026-02-20

Добавлены объекты SecurityPolicyException для исключений из политик безопасности, исправлены критические уязвимости, а требование к Deckhouse Kubernetes Platform (DKP) повышено до версии 1.74 и выше.

Ключевые изменения

Изменения в этом релизе:

  • Операторы могут создавать объекты SecurityPolicyException, чтобы исключать выбранные нагрузки из политик безопасности.
  • Исправлены критические уязвимости в компонентах модуля.
  • Модуль требует DKP версии 1.74 или выше.
  • Обновлены описание и примеры правил аудита Falco.

Новый функционал

В этом релизе добавлено:

  • Добавлена поддержка кастомных ресурсов SecurityPolicyException для задания исключений из политик безопасности.

Обновления безопасности

Обновления безопасности в этом релизе:

  • Исправлены критические уязвимости (CVE) в образах компонентов модуля.

Рекомендации по обновлению

Перед обновлением учтите следующее:

  • Перед обновлением убедитесь, что в кластере используется Deckhouse Kubernetes Platform версии 1.74 или выше.

Документация

Изменения в документации:

  • Обновлены описание и примеры правил аудита Falco.

Зависимости

Обновления зависимостей:

  • deckhouse: >= 1.74