'\" t
.\"     Title: falcodump
.\"    Author: [see the "AUTHOR(S)" section]
.\" Generator: Asciidoctor 2.0.26
.\"      Date: 2026-09-03
.\"    Manual: \ \&
.\"    Source: \ \&
.\"  Language: English
.\"
.TH "FALCODUMP" "1" "2026-09-03" "\ \&" "\ \&"
.ie \n(.g .ds Aq \(aq
.el       .ds Aq '
.ss \n[.ss] 0
.nh
.ad l
.de URL
\fI\\$2\fP <\\$1>\\$3
..
.als MTO URL
.if \n[.g] \{\
.  mso www.tmac
.  am URL
.    ad l
.  .
.  am MTO
.    ad l
.  .
.  LINKSTYLE blue R < >
.\}
.SH "نام (NAME)"
falcodump \- تخلیه داده‌های لاگ به یک فایل با استفاده از افزونه منبع Falco.
.SH "خلاصه دستور (SYNOPSIS)"
.sp
.B گزینه‌های عمومی
.br
\fBfalcodump\fP
[\~\fB\-\-help\fP\~]
[\~\fB\-\-version\fP\~]
[\~\fB\-\-plugin\-api\-version\fP\~]
[\~\fB\-\-extcap\-interfaces\fP\~]
[\~\fB\-\-extcap\-dlts\fP\~]
[\~\fB\-\-extcap\-interface\fP=<interface>\~]
[\~\fB\-\-extcap\-config\fP\~]
[\~\fB\-\-extcap\-capture\-filter\fP=<capture\~filter>\~]
[\~\fB\-\-capture\fP\~]
[\~\fB\-\-fifo\fP=<path\~to\~file\~or\~pipe>\~]
[\~\fB\-\-plugin\-source\fP=<source\~path\~or\~URL>\~]
[\~\fB\-\-log\-level\fP=<log\~level>\~]
[\~\fB\-\-log\-file\fP=<path\~to\~file>\~]
.sp
.B گزینه‌های افزونه CloudTrail
.br
[\~\fB\-\-cloudtrail\-s3downloadconcurrency\fP=<number\~of\~concurrent\~downloads>\~]
[\~\fB\-\-cloudtrail\-s3interval\fP=<timeframe>\~]
[\~\fB\-\-cloudtrail\-s3accountlist\fP=<comma\~separated\~account\~IDs>\~]
[\~\fB\-\-cloudtrail\-sqsdelete\fP=<true\~or\~false>\~]
[\~\fB\-\-cloudtrail\-useasync\fP=<true\~or\~false>\~]
[\~\fB\-\-cloudtrail\-uses3sns\fP=<true\~or\~false>\~]
[\~\fB\-\-cloudtrail\-aws\-region\fP=<AWS\~region>\~]
[\~\fB\-\-cloudtrail\-aws\-profile\fP=<AWS\~profile>\~]
[\~\fB\-\-cloudtrail\-aws\-config\fP=<path>\~]
[\~\fB\-\-cloudtrail\-aws\-credentials\fP=<path\~to\~file>\~]
.SH "توضیحات (DESCRIPTION)"
.sp
\fBfalcodump\fP یک ابزار extcap است که امکان ضبط پیام‌های لاگ از ارائه‌دهندگان ابری را فراهم می‌کند.
.sp
هر افزونه به عنوان یک رابط جداگانه فهرست می‌شود.
برای نمونه، افزونه بازرسی Kubernetes با عنوان “k8saudit” و افزونه AWS CloudTrail با عنوان “cloudtrail” فهرست می‌شود.
.SH "گزینه‌ها (OPTIONS)"
.sp
\-\-help
.RS 4
چاپ آرگومان‌های برنامه.
این گزینه همچنین آرگومان‌های پیکربندی مربوط به هر افزونه را فهرست می‌کند.
.RE
.sp
\-\-version
.RS 4
چاپ نسخه برنامه.
.RE
.sp
\-\-plugin\-api\-version
.RS 4
چاپ نسخه API افزونه Falco.
.RE
.sp
\-\-extcap\-interfaces
.RS 4
فهرست کردن رابط‌های در دسترس.
.RE
.sp
\-\-extcap\-interface=<interface>
.RS 4
استفاده از رابط مشخص‌شده.
.RE
.sp
\-\-extcap\-dlts
.RS 4
فهرست کردن DLTهای رابط مشخص‌شده.
.RE
.sp
\-\-extcap\-config
.RS 4
فهرست کردن گزینه‌های پیکربندی رابط مشخص‌شده.
.RE
.sp
\-\-extcap\-capture\-filter=<capture filter>
.RS 4
فیلتر ضبط.
باید یک فیلتر معتبر Sysdig / Falco باشد.
.RE
.sp
\-\-capture
.RS 4
شروع ضبط از منبع مشخص‌شده توسط \-\-plugin\-source از طریق رابط تعیین‌شده و نوشتن داده‌های خام بسته به مکان مشخص‌شده با \-\-fifo.
.RE
.sp
\-\-fifo=<path to file or pipe>
.RS 4
ذخیره بسته ضبط‌شده در فایل یا ارسال آن از طریق پایپ (pipe).
.RE
.sp
\-\-plugin\-source=<source path or URL>
.RS 4
ضبط از مکان مشخص‌شده.
.RE
.sp
\-\-log\-level
.RS 4
تنظیم سطح ثبت لاگ.
.RE
.sp
\-\-log\-file
.RS 4
تنظیم یک فایل لاگ جهت ثبت پیام‌ها علاوه بر کنسول.
.RE.SH "پلاگین‌ها (PLUGINS)"
.SS "cloudtrail (AWS CloudTrail)"
.sp
\-\-cloudtrail\-s3downloadconcurrency
.RS 4
تعداد goroutineهای پس‌زمینه مورد استفاده برای بارگیری فایل‌های S3 را کنترل می‌کند (پیش‌فرض: 32)
.RE
.sp
\-\-cloudtrail\-s3interval
.RS 4
بارگیری فایل‌های لاگ در بازهٔ زمانی مشخص‌شده (پیش‌فرض: بدون بازه)
.RE
.sp
\-\-cloudtrail\-s3accountlist
.RS 4
اگر منبع یک باکت S3 متعلق به سازمان در CloudTrail باشد، فایل‌های لاگ را برای تمام شناسه‌های حساب (account IDs) مشخص‌شده بارگیری می‌کند (پیش‌فرض: بدون شناسه حساب)
.RE
.sp
\-\-cloudtrail\-sqsdelete
.RS 4
اگر true باشد، پلاگین پیام‌های SQS را بلافاصله پس از دریافت از صف حذف می‌کند (پیش‌فرض: true)
.RE
.sp
\-\-cloudtrail\-useasync
.RS 4
اگر true باشد، بهینه‌سازی استخراج ناهمگام (async) فعال می‌شود (پیش‌فرض: true)
.RE
.sp
\-\-cloudtrail\-uses3sns
.RS 4
اگر true باشد، پلاگین انتظار دارد پیام‌های SNS به جای ارسال مستقیم از Cloudtrail، از S3 منشأ گرفته باشند (پیش‌فرض: false)
.RE
.sp
\-\-cloudtrail\-aws\-profile
.RS 4
در صورت غیرخالی بودن، نمایهٔ پیکربندی مشترک AWS (مانند \*(Aqdefault\*(Aq) و متغیرهای محیطی نظیر AWS_PROFILE را بازنویسی می‌کند (پیش‌فرض: خالی)
.RE
.sp
\-\-cloudtrail\-aws\-region
.RS 4
در صورت غیرخالی بودن، منطقهٔ (region) مشخص‌شده در نمایهٔ AWS (مانند \*(Aqus\-east\-1\*(Aq) و متغیرهای محیطی نظیر AWS_REGION را بازنویسی می‌کند (پیش‌فرض: خالی)
.RE
.sp
\-\-cloudtrail\-aws\-config
.RS 4
در صورت غیرخالی بودن، مسیر فایل پیکربندی مشترک AWS (مانند ~/.aws/config) و متغیرهای محیطی نظیر AWS_CONFIG_FILE را بازنویسی می‌کند (پیش‌فرض: خالی)
.RE
.sp
\-\-cloudtrail\-aws\-credentials
.RS 4
در صورت غیرخالی بودن، مسیر فایل اعتبارنامه‌های مشترک AWS (مانند ~/.aws/credentials) و متغیرهای محیطی نظیر AWS_SHARED_CREDENTIALS_FILE را بازنویسی می‌کند (پیش‌فرض: خالی)
.RE
.sp
منابع CloudTrail می‌توانند باکت‌های S3 یا نشانی‌های URL صف SQS باشند. نشانی‌های باکت S3 ساختاری به شکل زیر دارند:
.sp
\*(Aqs3://\fIbucket_name\fP/\fIprefix\fP/AWSLogs/\fIaccount\-id\fP/CloudTrail/\fIregion\fP/\fIyear\fP/\fImonth\fP/\fIday\fP\*(Aq
.sp
برای CloudTrail سازمانی، نشانی باکت S3 می‌تواند به این صورت باشد:
.sp
\*(Aqs3://\fIbucket_name\fP/\fIprefix\fP/AWSLogs/\fIorg\-id\fP/\fIaccount\-id\fP/CloudTrail/\fIregion\fP/\fIyear\fP/\fImonth\fP/\fIday\fP\*(Aq
.sp
بخش‌های \fIregion\fP، \fIyear\fP، \fImonth\fP و \fIday\fP را می‌توان برای دریافت داده‌های بیشتر یا کمتر حذف کرد.
برای مثال، منبع \*(Aqs3://mybucket/AWSLogs/012345678/CloudTrail/us\-west\-2/2023\*(Aq تمام لاگ‌های CloudWatch مربوط به سال ۲۰۲۳ را واکشی خواهد کرد.
.sp
اگر نشانی URL با \*(Aq\fIaccount\-id\fP/\*(Aq یا \*(Aq\fIaccount\-id\fP/CloudTrail/\*(Aq خاتمه یابد (مانند \*(Aqs3://mybucket/AWSLOGS/012345678912/\*(Aq)، گزینهٔ \*(Aq\-\-cloudtrail\-s3interval\*(Aq می‌تواند برای تعیین بازهٔ زمانی استفاده شود. به عنوان مثال، یک s3interval با مقدار \*(Aq1d\*(Aq تمام رویدادهای ۲۴ ساعت گذشته را از همهٔ مناطق موجود دریافت می‌کند. مقدار \*(Aq2w\-1w\*(Aq تمام رویدادهای همهٔ مناطق را از دو هفته پیش تا یک هفته پیش واکشی خواهد کرد. همچنین s3interval می‌تواند به عنوان یک مهر زمانی بر اساس RFC 3339 تعریف شود، مانند \*(Aq2024\-02\-29T18:07:17Z\*(Aq یا \*(Aq2024\-02\-29T00:00:00Z\-2024\-03\-01T23:59:59Z\*(Aq.
.sp
اگر نشانی URL با \*(AqAWSLogs/\fIorg\-id\fP\*(Aq پایان یابد، گزینهٔ \*(Aq\-\-cloudtrail\-s3accountlist\*(Aq می‌تواند برای مشخص کردن شناسه‌های حساب به کار رود. این مورد می‌تواند با \*(Aq\-\-cloudtrail\-s3interval\*(Aq ترکیب شود. منبعی مانند \*(Aqs3://my\-org\-bucket/AWSLogs/o\-123abc/\*(Aq در حالی که \*(Aq\-\-cloudstrail\-s3accountlist\*(Aq برابر با \*(Aq123456789012,987654321098\*(Aq و \*(Aq\-\-cloudtrail\-s3interval\*(Aq برابر با \*(Aq30m\*(Aq تنظیم شده باشد، تمام رویدادهای ۳۰ دقیقهٔ گذشته را از همهٔ مناطق برای حساب‌های 123456789012 و 987654321098 واکشی می‌کند.
.sp
اگر نشانی URL منبع، باکت CloudTrail سازمانی باشد (مانند \*(Aqs3://my\-org\-bucket/AWSLogs/o\-123abc\*(Aq) و \*(Aq\-\-s3accountlist\*(Aq تنظیم نشده باشد، پلاگین روی تمام حساب‌ها پیمایش می‌کند (در صورت تنظیم \*(Aq\-\-s3interval\*(Aq، محدود به آن بازه می‌شود). توجه: بسته به اندازهٔ سازمان و بازهٔ زمانی، این فرایند ممکن است زمان زیادی ببرد.
.sp
پلاگین cloudtrail از AWS SDK for Go استفاده می‌کند، که می‌تواند تنظیمات نمایه، منطقه و اعتبارنامه را از مجموعه‌ای از \c
.URL "https://aws.github.io/aws\-sdk\-go\-v2/docs/configuring\-sdk" "متغیرهای محیطی و فایل‌های پیکربندی" " استاندارد دریافت کند."
ابزار Falcodump فهرستی از نمایه‌های پیکربندی‌شدهٔ محلی و مناطق فعلی را نشان می‌دهد و به شما امکان می‌دهد یک مقدار سفارشی نیز وارد کنید.
.sp
اطلاعات بیشتر در \c
.URL "https://github.com/falcosecurity/plugins/blob/master/plugins/cloudtrail/README.md" "README" ""
پلاگین CloudTrail در دسترس است.
.SH "مثال‌ها (EXAMPLES)"
.sp
برای مشاهده آرگومان‌های برنامه:
.sp
.if n .RS 4
.nf
.fam C
falcodump \-\-help
.fam
.fi
.if n .RE
.sp
برای مشاهده نسخه برنامه:
.sp
.if n .RS 4
.nf
.fam C
falcodump \-\-version
.fam
.fi
.if n .RE
.sp
برای مشاهده رابط‌ها:
.sp
.if n .RS 4
.nf
.fam C
falcodump \-\-extcap\-interfaces
.fam
.fi
.if n .RE
.sp
تنها از یک رابط (falcodump) پشتیبانی می‌شود.
.sp
.B خروجی نمونه
.br
.sp
.if n .RS 4
.nf
.fam C
interface {value=cloudtrail}{display=Falco plugin}
.fam
.fi
.if n .RE
.sp
برای مشاهده DLTهای رابط:
.sp
.if n .RS 4
.nf
.fam C
falcodump \-\-extcap\-interface=cloudtrail \-\-extcap\-dlts
.fam
.fi
.if n .RE
.sp
.B خروجی نمونه
.br
.sp
.if n .RS 4
.nf
.fam C
dlt {number=147}{name=cloudtrail}{display=USER0}
.fam
.fi
.if n .RE
.sp
برای مشاهده گزینه‌های پیکربندی رابط:
.sp
.if n .RS 4
.nf
.fam C
falcodump \-\-extcap\-interface=cloudtrail \-\-extcap\-config
.fam
.fi
.if n .RE
.sp
.B خروجی نمونه
.br
.sp
.if n .RS 4
.nf
.fam C
arg {number=0}{call=\-\-plugin\-source}{display=Plugin source}{type=string}{tooltip=The plugin data source. This us usually a URL.}{placeholder=Enter a source URL…}{required=true}{group=Capture}
arg {number=1}{call=cloudtrail\-s3downloadconcurrency}{display=s3DownloadConcurrency}{type=integer}{default=1}{tooltip=Controls the number of background goroutines used to download S3 files (Default: 1)}{group=Capture}
arg {number=2}{call=cloudtrail\-sqsdelete}{display=sqsDelete}{type=boolean}{default=true}{tooltip=If true then the plugin will delete sqs messages from the queue immediately after receiving them (Default: true)}{group=Capture}
arg {number=3}{call=cloudtrail\-useasync}{display=useAsync}{type=boolean}{default=true}{tooltip=If true then async extraction optimization is enabled (Default: true)}{group=Capture}
.fam
.fi
.if n .RE
.sp
برای ضبط رویدادهای AWS CloudTrail از یک باکت S3:
.sp
.if n .RS 4
.nf
.fam C
falcodump \-\-extcap\-interface=cloudtrail \-\-fifo=/tmp/cloudtrail.pcap \-\-plugin\-source=s3://aws\-cloudtrail\-logs.../CloudTrail/us\-east\-2/... \-\-capture
.fam
.fi
.if n .RE
.sp
یا:
.sp
.if n .RS 4
.nf
.fam C
falcodump \-\-capture \-\-extcap\-interface cloudtrail \-\-fifo ~/cloudtrail.pcap \-\-plugin\-source s3://my\-cloudtrail\-bucket/AWSLogs/o\-abc12345/123456789012/ \-\-cloudtrail\-s3downloadconcurrency 32 \-\-cloudtrail\-s3interval 5d\-2d \-\-cloudtrail\-aws\-region eu\-west\-1
.fam
.fi
.if n .RE
.if n .sp
.RS 4
.it 1 an-trap
.nr an-no-space-flag 1
.nr an-break-flag 1
.br
.ps +1
.B نکته
.ps -1
.br
.sp
برای اطمینان از خاتمهٔ تمیز فرایند، باید از \f(CRCTRL\0+\0C\fP جهت توقف ضبط استفاده شود.
.sp .5v
.RE.SH "همچنین ببینید (SEE ALSO)"
.sp
stratoshark(1), strato(1), dumpcalls(1), dumpcap(1), extcap(4)
.SH "نکات (NOTES)"
.sp
\fBfalcodump\fP بخشی از توزیع \fBStratoshark\fP است.
آخرین نسخهٔ \fBStratoshark\fP را می‌توان در این نشانی یافت:
.URL "https://www.wireshark.org" "" "."
.sp
نسخه‌های HTML صفحات راهنمای پروژهٔ Wireshark در این نشانی در دسترس هستند:
.URL "https://www.wireshark.org/docs/man\-pages" "" "."
.SH "نویسندگان (AUTHORS)"
.sp
.B نویسنده اصلی
.br
Gerald Combs <gerald[AT]wireshark.org>