FALCODUMP(1)   FALCODUMP(1)

falcodump - تخلیه داده‌های لاگ به یک فایل با استفاده از افزونه منبع Falco.

گزینه‌های عمومی
falcodump [ --help ] [ --version ] [ --plugin-api-version ] [ --extcap-interfaces ] [ --extcap-dlts ] [ --extcap-interface=<interface> ] [ --extcap-config ] [ --extcap-capture-filter=<capture filter> ] [ --capture ] [ --fifo=<path to file or pipe> ] [ --plugin-source=<source path or URL> ] [ --log-level=<log level> ] [ --log-file=<path to file> ]

گزینه‌های افزونه CloudTrail
[ --cloudtrail-s3downloadconcurrency=<number of concurrent downloads> ] [ --cloudtrail-s3interval=<timeframe> ] [ --cloudtrail-s3accountlist=<comma separated account IDs> ] [ --cloudtrail-sqsdelete=<true or false> ] [ --cloudtrail-useasync=<true or false> ] [ --cloudtrail-uses3sns=<true or false> ] [ --cloudtrail-aws-region=<AWS region> ] [ --cloudtrail-aws-profile=<AWS profile> ] [ --cloudtrail-aws-config=<path> ] [ --cloudtrail-aws-credentials=<path to file> ]

falcodump یک ابزار extcap است که امکان ضبط پیام‌های لاگ از ارائه‌دهندگان ابری را فراهم می‌کند.

هر افزونه به عنوان یک رابط جداگانه فهرست می‌شود. برای نمونه، افزونه بازرسی Kubernetes با عنوان “k8saudit” و افزونه AWS CloudTrail با عنوان “cloudtrail” فهرست می‌شود.

--help

چاپ آرگومان‌های برنامه. این گزینه همچنین آرگومان‌های پیکربندی مربوط به هر افزونه را فهرست می‌کند.

--version

چاپ نسخه برنامه.

--plugin-api-version

چاپ نسخه API افزونه Falco.

--extcap-interfaces

فهرست کردن رابط‌های در دسترس.

--extcap-interface=<interface>

استفاده از رابط مشخص‌شده.

--extcap-dlts

فهرست کردن DLTهای رابط مشخص‌شده.

--extcap-config

فهرست کردن گزینه‌های پیکربندی رابط مشخص‌شده.

--extcap-capture-filter=<capture filter>;

فیلتر ضبط. باید یک فیلتر معتبر Sysdig / Falco باشد.

--capture

شروع ضبط از منبع مشخص‌شده توسط --plugin-source از طریق رابط تعیین‌شده و نوشتن داده‌های خام بسته به مکان مشخص‌شده با --fifo.

--fifo=<path to file or pipe>;

ذخیره بسته ضبط‌شده در فایل یا ارسال آن از طریق پایپ (pipe).

--plugin-source=<source path or URL>;

ضبط از مکان مشخص‌شده.

--log-level

تنظیم سطح ثبت لاگ.

--log-file

تنظیم یک فایل لاگ جهت ثبت پیام‌ها علاوه بر کنسول.

--cloudtrail-s3downloadconcurrency

تعداد goroutineهای پس‌زمینه مورد استفاده برای بارگیری فایل‌های S3 را کنترل می‌کند (پیش‌فرض: 32)

--cloudtrail-s3interval

بارگیری فایل‌های لاگ در بازهٔ زمانی مشخص‌شده (پیش‌فرض: بدون بازه)

--cloudtrail-s3accountlist

اگر منبع یک باکت S3 متعلق به سازمان در CloudTrail باشد، فایل‌های لاگ را برای تمام شناسه‌های حساب (account IDs) مشخص‌شده بارگیری می‌کند (پیش‌فرض: بدون شناسه حساب)

--cloudtrail-sqsdelete

اگر true باشد، پلاگین پیام‌های SQS را بلافاصله پس از دریافت از صف حذف می‌کند (پیش‌فرض: true)

--cloudtrail-useasync

اگر true باشد، بهینه‌سازی استخراج ناهمگام (async) فعال می‌شود (پیش‌فرض: true)

--cloudtrail-uses3sns

اگر true باشد، پلاگین انتظار دارد پیام‌های SNS به جای ارسال مستقیم از Cloudtrail، از S3 منشأ گرفته باشند (پیش‌فرض: false)

--cloudtrail-aws-profile

در صورت غیرخالی بودن، نمایهٔ پیکربندی مشترک AWS (مانند 'default') و متغیرهای محیطی نظیر AWS_PROFILE را بازنویسی می‌کند (پیش‌فرض: خالی)

--cloudtrail-aws-region

در صورت غیرخالی بودن، منطقهٔ (region) مشخص‌شده در نمایهٔ AWS (مانند 'us-east-1') و متغیرهای محیطی نظیر AWS_REGION را بازنویسی می‌کند (پیش‌فرض: خالی)

--cloudtrail-aws-config

در صورت غیرخالی بودن، مسیر فایل پیکربندی مشترک AWS (مانند ~/.aws/config) و متغیرهای محیطی نظیر AWS_CONFIG_FILE را بازنویسی می‌کند (پیش‌فرض: خالی)

--cloudtrail-aws-credentials

در صورت غیرخالی بودن، مسیر فایل اعتبارنامه‌های مشترک AWS (مانند ~/.aws/credentials) و متغیرهای محیطی نظیر AWS_SHARED_CREDENTIALS_FILE را بازنویسی می‌کند (پیش‌فرض: خالی)

منابع CloudTrail می‌توانند باکت‌های S3 یا نشانی‌های URL صف SQS باشند. نشانی‌های باکت S3 ساختاری به شکل زیر دارند:

's3://bucket_name/prefix/AWSLogs/account-id/CloudTrail/region/year/month/day'

برای CloudTrail سازمانی، نشانی باکت S3 می‌تواند به این صورت باشد:

's3://bucket_name/prefix/AWSLogs/org-id/account-id/CloudTrail/region/year/month/day'

بخش‌های region، year، month و day را می‌توان برای دریافت داده‌های بیشتر یا کمتر حذف کرد. برای مثال، منبع 's3://mybucket/AWSLogs/012345678/CloudTrail/us-west-2/2023' تمام لاگ‌های CloudWatch مربوط به سال ۲۰۲۳ را واکشی خواهد کرد.

اگر نشانی URL با 'account-id/' یا 'account-id/CloudTrail/' خاتمه یابد (مانند 's3://mybucket/AWSLOGS/012345678912/')، گزینهٔ '--cloudtrail-s3interval' می‌تواند برای تعیین بازهٔ زمانی استفاده شود. به عنوان مثال، یک s3interval با مقدار '1d' تمام رویدادهای ۲۴ ساعت گذشته را از همهٔ مناطق موجود دریافت می‌کند. مقدار '2w-1w' تمام رویدادهای همهٔ مناطق را از دو هفته پیش تا یک هفته پیش واکشی خواهد کرد. همچنین s3interval می‌تواند به عنوان یک مهر زمانی بر اساس RFC 3339 تعریف شود، مانند '2024-02-29T18:07:17Z' یا '2024-02-29T00:00:00Z-2024-03-01T23:59:59Z'.

اگر نشانی URL با 'AWSLogs/org-id' پایان یابد، گزینهٔ '--cloudtrail-s3accountlist' می‌تواند برای مشخص کردن شناسه‌های حساب به کار رود. این مورد می‌تواند با '--cloudtrail-s3interval' ترکیب شود. منبعی مانند 's3://my-org-bucket/AWSLogs/o-123abc/' در حالی که '--cloudstrail-s3accountlist' برابر با '123456789012,987654321098' و '--cloudtrail-s3interval' برابر با '30m' تنظیم شده باشد، تمام رویدادهای ۳۰ دقیقهٔ گذشته را از همهٔ مناطق برای حساب‌های 123456789012 و 987654321098 واکشی می‌کند.

اگر نشانی URL منبع، باکت CloudTrail سازمانی باشد (مانند 's3://my-org-bucket/AWSLogs/o-123abc') و '--s3accountlist' تنظیم نشده باشد، پلاگین روی تمام حساب‌ها پیمایش می‌کند (در صورت تنظیم '--s3interval'، محدود به آن بازه می‌شود). توجه: بسته به اندازهٔ سازمان و بازهٔ زمانی، این فرایند ممکن است زمان زیادی ببرد.

پلاگین cloudtrail از AWS SDK for Go استفاده می‌کند، که می‌تواند تنظیمات نمایه، منطقه و اعتبارنامه را از مجموعه‌ای از متغیرهای محیطی و فایل‌های پیکربندی https://aws.github.io/aws-sdk-go-v2/docs/configuring-sdk استاندارد دریافت کند. ابزار Falcodump فهرستی از نمایه‌های پیکربندی‌شدهٔ محلی و مناطق فعلی را نشان می‌دهد و به شما امکان می‌دهد یک مقدار سفارشی نیز وارد کنید.

اطلاعات بیشتر در README https://github.com/falcosecurity/plugins/blob/master/plugins/cloudtrail/README.md پلاگین CloudTrail در دسترس است.

برای مشاهده آرگومان‌های برنامه:

falcodump --help

برای مشاهده نسخه برنامه:

falcodump --version

برای مشاهده رابط‌ها:

falcodump --extcap-interfaces

تنها از یک رابط (falcodump) پشتیبانی می‌شود.

خروجی نمونه

interface {value=cloudtrail}{display=Falco plugin}

برای مشاهده DLTهای رابط:

falcodump --extcap-interface=cloudtrail --extcap-dlts

خروجی نمونه

dlt {number=147}{name=cloudtrail}{display=USER0}

برای مشاهده گزینه‌های پیکربندی رابط:

falcodump --extcap-interface=cloudtrail --extcap-config

خروجی نمونه

arg {number=0}{call=--plugin-source}{display=Plugin source}{type=string}{tooltip=The plugin data source. This us usually a URL.}{placeholder=Enter a source URL…}{required=true}{group=Capture}
arg {number=1}{call=cloudtrail-s3downloadconcurrency}{display=s3DownloadConcurrency}{type=integer}{default=1}{tooltip=Controls the number of background goroutines used to download S3 files (Default: 1)}{group=Capture}
arg {number=2}{call=cloudtrail-sqsdelete}{display=sqsDelete}{type=boolean}{default=true}{tooltip=If true then the plugin will delete sqs messages from the queue immediately after receiving them (Default: true)}{group=Capture}
arg {number=3}{call=cloudtrail-useasync}{display=useAsync}{type=boolean}{default=true}{tooltip=If true then async extraction optimization is enabled (Default: true)}{group=Capture}

برای ضبط رویدادهای AWS CloudTrail از یک باکت S3:

falcodump --extcap-interface=cloudtrail --fifo=/tmp/cloudtrail.pcap --plugin-source=s3://aws-cloudtrail-logs.../CloudTrail/us-east-2/... --capture

یا:

falcodump --capture --extcap-interface cloudtrail --fifo ~/cloudtrail.pcap --plugin-source s3://my-cloudtrail-bucket/AWSLogs/o-abc12345/123456789012/ --cloudtrail-s3downloadconcurrency 32 --cloudtrail-s3interval 5d-2d --cloudtrail-aws-region eu-west-1

نکته

برای اطمینان از خاتمهٔ تمیز فرایند، باید از CTRL + C جهت توقف ضبط استفاده شود.

stratoshark(1), strato(1), dumpcalls(1), dumpcap(1), extcap(4)

falcodump بخشی از توزیع Stratoshark است. آخرین نسخهٔ Stratoshark را می‌توان در این نشانی یافت: https://www.wireshark.org.

نسخه‌های HTML صفحات راهنمای پروژهٔ Wireshark در این نشانی در دسترس هستند: https://www.wireshark.org/docs/man-pages.

نویسنده اصلی
Gerald Combs <gerald[AT]wireshark.org>

2026-09-03