FALCODUMP(1)                                                      FALCODUMP(1)

<?><?><?> (NAME)
       falcodump - <?><?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?> <?><?>
       <?><?> <?><?><?><?> <?><?> <?><?><?><?><?><?><?> <?><?>
       <?><?><?><?><?><?> <?><?><?><?> Falco.

<?><?><?><?><?> <?><?><?><?><?> (SYNOPSIS)
       <?><?><?><?><?><?><?><?><?> <?><?><?><?><?>
       falcodump [ --help ] [ --version ] [ --plugin-api-version ]
       [ --extcap-interfaces ] [ --extcap-dlts ]
       [ --extcap-interface=<interface> ] [ --extcap-config ]
       [ --extcap-capture-filter=<capture filter> ] [ --capture ]
       [ --fifo=<path to file or pipe> ]
       [ --plugin-source=<source path or URL> ] [ --log-level=<log level> ]
       [ --log-file=<path to file> ]

       <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?> CloudTrail
       [ --cloudtrail-s3downloadconcurrency=<number of concurrent downloads> ]
       [ --cloudtrail-s3interval=<timeframe> ]
       [ --cloudtrail-s3accountlist=<comma separated account IDs> ]
       [ --cloudtrail-sqsdelete=<true or false> ]
       [ --cloudtrail-useasync=<true or false> ]
       [ --cloudtrail-uses3sns=<true or false> ]
       [ --cloudtrail-aws-region=<AWS region> ]
       [ --cloudtrail-aws-profile=<AWS profile> ]
       [ --cloudtrail-aws-config=<path> ]
       [ --cloudtrail-aws-credentials=<path to file> ]

<?><?><?><?><?><?><?> (DESCRIPTION)
       falcodump <?><?> <?><?><?><?><?> extcap <?><?><?> <?><?>
       <?><?><?><?><?> <?><?><?> <?><?><?><?><?><?><?><?> <?><?><?> <?><?>
       <?><?><?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?>
       <?><?><?><?><?> <?><?><?><?><?><?>.

       <?><?> <?><?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?> <?><?><?><?>
       <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>.  <?><?><?><?>
       <?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?> Kubernetes
       <?><?> <?><?><?><?><?> "k8saudit" <?> <?><?><?><?><?><?> AWS CloudTrail
       <?><?> <?><?><?><?><?> "cloudtrail" <?><?><?><?><?> <?><?><?><?><?><?>.

<?><?><?><?><?><?><?><?> (OPTIONS)
       --help
           <?><?><?> <?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?>.
           <?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>
           <?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?>
           <?><?><?><?><?> <?><?> <?><?> <?><?><?><?><?><?> <?><?>
           <?><?><?><?><?> <?><?><?><?><?><?>.

       --version
           <?><?><?> <?><?><?><?> <?><?><?><?><?><?>.

       --plugin-api-version
           <?><?><?> <?><?><?><?> API <?><?><?><?><?><?> Falco.

       --extcap-interfaces
           <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?> <?><?>
           <?><?><?><?><?>.

       --extcap-interface=<interface>
           <?><?><?><?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?><?><?>.

       --extcap-dlts
           <?><?><?><?><?> <?><?><?><?> DLT<?><?><?> <?><?><?><?>
           <?><?><?><?><?><?><?><?>.

       --extcap-config
           <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?><?>
           <?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?>.

       --extcap-capture-filter=<capture filter>
           <?><?><?><?><?> <?><?><?>.  <?><?><?><?> <?><?> <?><?><?><?><?>
           <?><?><?><?><?> Sysdig / Falco <?><?><?><?>.

       --capture
           <?><?><?><?> <?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?><?><?>
           <?><?><?><?> --plugin-source <?><?> <?><?><?><?> <?><?><?><?>
           <?><?><?><?><?><?><?><?><?> <?> <?><?><?><?><?>
           <?><?><?><?><?><?><?><?> <?><?><?> <?><?><?><?> <?><?> <?><?><?><?>
           <?><?><?><?><?><?><?><?> <?><?> --fifo.

       --fifo=<path to file or pipe>
           <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?> <?><?>
           <?><?><?><?> <?><?> <?><?><?><?><?> <?><?> <?><?> <?><?><?><?>
           <?><?><?><?> (pipe).

       --plugin-source=<source path or URL>
           <?><?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?><?><?>.

       --log-level
           <?><?><?><?><?> <?><?><?> <?><?><?> <?><?><?>.

       --log-file
           <?><?><?><?><?> <?><?> <?><?><?><?> <?><?><?> <?><?><?> <?><?><?>
           <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?><?>.

   cloudtrail (AWS CloudTrail)
       --cloudtrail-s3downloadconcurrency
           <?><?><?><?><?> goroutine<?><?><?> <?><?><?><?><?><?><?><?>
           <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?>
           <?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?> S3 <?><?>
           <?><?><?><?><?> <?><?><?><?><?><?> (<?><?><?><?><?><?><?>: 32)

       --cloudtrail-s3interval
           <?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?> <?><?>
           <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?><?>
           (<?><?><?><?><?><?><?>: <?><?><?><?> <?><?><?><?>)

       --cloudtrail-s3accountlist
           <?><?><?> <?><?><?><?> <?><?> <?><?><?><?> S3 <?><?><?><?><?>
           <?><?> <?><?><?><?><?><?> <?><?> CloudTrail <?><?><?><?><?>
           <?><?><?><?><?><?><?><?> <?><?><?> <?><?> <?><?><?><?> <?><?><?><?>
           <?><?><?><?><?><?><?><?><?> <?><?><?><?> (account IDs)
           <?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?><?>
           (<?><?><?><?><?><?><?>: <?><?><?><?> <?><?><?><?><?> <?><?><?><?>)

       --cloudtrail-sqsdelete
           <?><?><?> true <?><?><?><?><?> <?><?><?><?><?><?>
           <?><?><?><?><?><?><?><?> SQS <?><?> <?><?><?><?><?><?><?><?> <?><?>
           <?><?> <?><?><?><?><?><?> <?><?> <?><?> <?><?><?>
           <?><?><?><?><?><?> (<?><?><?><?><?><?><?>: true)

       --cloudtrail-useasync
           <?><?><?> true <?><?><?><?><?> <?><?><?><?><?><?><?><?><?><?>
           <?><?><?><?><?><?><?> <?><?><?><?><?><?><?> (async) <?><?><?><?>
           <?><?><?><?><?><?> (<?><?><?><?><?><?><?>: true)

       --cloudtrail-uses3sns
           <?><?><?> true <?><?><?><?><?> <?><?><?><?><?><?>
           <?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?> SNS <?><?>
           <?><?><?> <?><?><?><?><?> <?><?><?><?><?><?> <?><?> Cloudtrail<?>
           <?><?> S3 <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?>
           (<?><?><?><?><?><?><?>: false)

       --cloudtrail-aws-profile
           <?><?> <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?>
           <?><?><?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?><?> AWS
           (<?><?><?><?><?> 'default') <?> <?><?><?><?><?><?><?><?>
           <?><?><?><?><?> <?><?><?><?> AWS_PROFILE <?><?>
           <?><?><?><?><?><?><?><?> <?><?><?><?><?><?> (<?><?><?><?><?><?><?>:
           <?><?><?><?>)

       --cloudtrail-aws-region
           <?><?> <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?>
           <?><?><?><?><?><?> (region) <?><?><?><?><?><?><?><?> <?><?>
           <?><?><?><?><?><?> AWS (<?><?><?><?><?> 'us-east-1') <?>
           <?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?> AWS_REGION
           <?><?> <?><?><?><?><?><?><?><?> <?><?><?><?><?><?>
           (<?><?><?><?><?><?><?>: <?><?><?><?>)

       --cloudtrail-aws-config
           <?><?> <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?>
           <?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?><?>
           AWS (<?><?><?><?><?> ~/.aws/config) <?> <?><?><?><?><?><?><?><?>
           <?><?><?><?><?> <?><?><?><?> AWS_CONFIG_FILE <?><?>
           <?><?><?><?><?><?><?><?> <?><?><?><?><?><?> (<?><?><?><?><?><?><?>:
           <?><?><?><?>)

       --cloudtrail-aws-credentials
           <?><?> <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?>
           <?><?><?><?> <?><?><?><?>
           <?><?><?><?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?> AWS
           (<?><?><?><?><?> ~/.aws/credentials) <?> <?><?><?><?><?><?><?><?>
           <?><?><?><?><?> <?><?><?><?> AWS_SHARED_CREDENTIALS_FILE <?><?>
           <?><?><?><?><?><?><?><?> <?><?><?><?><?><?> (<?><?><?><?><?><?><?>:
           <?><?><?><?>)

       <?><?><?><?><?> CloudTrail <?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?><?><?> S3 <?><?> <?><?><?><?><?><?><?><?><?> URL
       <?><?> SQS <?><?><?><?><?>. <?><?><?><?><?><?><?><?><?> <?><?><?><?> S3
       <?><?><?><?><?><?><?> <?><?> <?><?><?> <?><?><?> <?><?><?><?><?>:

       's3://bucket_name/prefix/AWSLogs/account-id/CloudTrail/region/year/month/day'

       <?><?><?><?> CloudTrail <?><?><?><?><?><?><?><?> <?><?><?><?><?>
       <?><?><?><?> S3 <?><?><?><?><?><?><?><?> <?><?> <?><?><?> <?><?><?><?>
       <?><?><?><?>:

       's3://bucket_name/prefix/AWSLogs/org-id/account-id/CloudTrail/region/year/month/day'

       <?><?><?><?><?><?><?> region<?> year<?> month <?> day <?><?>
       <?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?>
       <?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?> <?><?><?>
       <?><?><?>.  <?><?><?><?> <?><?><?><?><?> <?><?><?><?>
       's3://mybucket/AWSLogs/012345678/CloudTrail/us-west-2/2023'
       <?><?><?><?> <?><?><?><?><?><?><?> CloudWatch <?><?><?><?><?> <?><?>
       <?><?><?> <?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?><?>
       <?><?><?>.

       <?><?><?> <?><?><?><?><?> URL <?><?> 'account-id/' <?><?>
       'account-id/CloudTrail/' <?><?><?><?><?> <?><?><?><?> (<?><?><?><?><?>
       's3://mybucket/AWSLOGS/012345678912/')<?> <?><?><?><?><?><?>
       '--cloudtrail-s3interval' <?><?><?><?><?><?><?><?> <?><?><?><?>
       <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?>
       <?><?><?>. <?><?> <?><?><?><?><?> <?><?><?><?><?> <?><?> s3interval
       <?><?> <?><?><?><?><?> '1d' <?><?><?><?> <?><?><?><?><?><?><?><?><?>
       <?><?> <?><?><?><?> <?><?><?><?><?> <?><?> <?><?> <?><?><?><?>
       <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?>.
       <?><?><?><?><?> '2w-1w' <?><?><?><?> <?><?><?><?><?><?><?><?><?>
       <?><?><?><?> <?><?><?><?><?> <?><?> <?><?> <?><?> <?><?><?><?>
       <?><?><?> <?><?> <?><?> <?><?><?><?> <?><?><?> <?><?><?><?><?>
       <?><?><?><?><?> <?><?><?>. <?><?><?><?><?><?> s3interval
       <?><?><?><?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?> <?><?><?>
       <?><?><?><?><?> <?><?> <?><?><?><?> RFC 3339 <?><?><?><?><?>
       <?><?><?><?> <?><?><?><?><?> '2024-02-29T18:07:17Z' <?><?>
       '2024-02-29T00:00:00Z-2024-03-01T23:59:59Z'.

       <?><?><?> <?><?><?><?><?> URL <?><?> 'AWSLogs/org-id' <?><?><?><?><?>
       <?><?><?><?><?> <?><?><?><?><?><?> '--cloudtrail-s3accountlist'
       <?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?> <?><?><?> <?><?><?>.
       <?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?> <?><?>
       '--cloudtrail-s3interval' <?><?><?><?><?> <?><?><?>. <?><?><?><?><?>
       <?><?><?><?><?> 's3://my-org-bucket/AWSLogs/o-123abc/' <?><?>
       <?><?><?><?> <?><?> '--cloudstrail-s3accountlist' <?><?><?><?><?>
       <?><?> '123456789012,987654321098' <?> '--cloudtrail-s3interval'
       <?><?><?><?><?> <?><?> '30m' <?><?><?><?><?> <?><?><?> <?><?><?><?><?>
       <?><?><?><?> <?><?><?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?>
       <?><?><?><?><?> <?><?> <?><?> <?><?><?><?> <?><?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?><?><?> 123456789012 <?> 987654321098 <?><?><?><?><?>
       <?><?><?><?><?><?>.

       <?><?><?> <?><?><?><?><?> URL <?><?><?><?><?> <?><?><?><?> CloudTrail
       <?><?><?><?><?><?><?> <?><?><?><?> (<?><?><?><?><?>
       's3://my-org-bucket/AWSLogs/o-123abc') <?> '--s3accountlist'
       <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>
       <?><?><?> <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?><?>
       <?><?><?><?><?><?> (<?><?> <?><?><?><?> <?><?><?><?><?>
       '--s3interval'<?> <?><?><?><?><?> <?><?> <?><?> <?><?><?><?>
       <?><?><?><?><?><?>). <?><?><?><?>: <?><?><?><?> <?><?>
       <?><?><?><?><?><?><?> <?><?><?><?><?><?> <?> <?><?><?><?><?>
       <?><?><?><?><?><?> <?><?><?> <?><?><?><?><?><?> <?><?><?><?> <?><?><?>
       <?><?><?><?> <?><?><?><?><?> <?><?><?><?>.

       <?><?><?><?><?><?> cloudtrail <?><?> AWS SDK for Go
       <?><?><?><?><?><?><?> <?><?><?><?><?><?><?> <?><?>
       <?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?><?>
       <?><?><?><?><?> <?> <?><?><?><?><?><?><?><?><?><?> <?><?> <?><?>
       <?><?><?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?><?>
       <?><?><?><?><?> <?> <?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?>
       <https://aws.github.io/aws-sdk-go-v2/docs/configuring-sdk>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?>.
       <?><?><?><?><?> Falcodump <?><?><?><?><?><?> <?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?><?><?><?><?>
       <?><?><?><?> <?> <?><?><?><?><?> <?><?><?><?> <?><?> <?><?><?><?>
       <?><?><?><?><?><?> <?> <?><?> <?><?><?> <?><?><?><?><?>
       <?><?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?><?><?> <?><?><?>
       <?><?><?><?> <?><?><?><?>.

       <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?> README
       <https://github.com/falcosecurity/plugins/blob/master/plugins/cloudtrail/README.md>
       <?><?><?><?><?><?> CloudTrail <?><?> <?><?><?><?><?> <?><?><?>.

<?><?><?><?><?><?><?> (EXAMPLES)
       <?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?>:

           falcodump --help

       <?><?><?><?> <?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?>:

           falcodump --version

       <?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?><?>:

           falcodump --extcap-interfaces

       <?><?><?><?> <?><?> <?><?> <?><?><?><?> (falcodump)
       <?><?><?><?><?><?><?><?> <?><?><?><?><?><?>.

       <?><?><?><?><?> <?><?><?><?><?>

           interface {value=cloudtrail}{display=Falco plugin}

       <?><?><?><?> <?><?><?><?><?><?> DLT<?><?><?> <?><?><?><?>:

           falcodump --extcap-interface=cloudtrail --extcap-dlts

       <?><?><?><?><?> <?><?><?><?><?>

           dlt {number=147}{name=cloudtrail}{display=USER0}

       <?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?>
       <?><?><?><?><?><?><?><?> <?><?><?><?>:

           falcodump --extcap-interface=cloudtrail --extcap-config

       <?><?><?><?><?> <?><?><?><?><?>

           arg {number=0}{call=--plugin-source}{display=Plugin source}{type=string}{tooltip=The plugin data source. This us usually a URL.}{placeholder=Enter a source URL<?>}{required=true}{group=Capture}
           arg {number=1}{call=cloudtrail-s3downloadconcurrency}{display=s3DownloadConcurrency}{type=integer}{default=1}{tooltip=Controls the number of background goroutines used to download S3 files (Default: 1)}{group=Capture}
           arg {number=2}{call=cloudtrail-sqsdelete}{display=sqsDelete}{type=boolean}{default=true}{tooltip=If true then the plugin will delete sqs messages from the queue immediately after receiving them (Default: true)}{group=Capture}
           arg {number=3}{call=cloudtrail-useasync}{display=useAsync}{type=boolean}{default=true}{tooltip=If true then async extraction optimization is enabled (Default: true)}{group=Capture}

       <?><?><?><?> <?><?><?> <?><?><?><?><?><?><?><?><?> AWS CloudTrail
       <?><?> <?><?> <?><?><?><?> S3:

           falcodump --extcap-interface=cloudtrail --fifo=/tmp/cloudtrail.pcap --plugin-source=s3://aws-cloudtrail-logs.../CloudTrail/us-east-2/... --capture

       <?><?>:

           falcodump --capture --extcap-interface cloudtrail --fifo ~/cloudtrail.pcap --plugin-source s3://my-cloudtrail-bucket/AWSLogs/o-abc12345/123456789012/ --cloudtrail-s3downloadconcurrency 32 --cloudtrail-s3interval 5d-2d --cloudtrail-aws-region eu-west-1

           <?><?><?><?>

           <?><?><?><?> <?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?>
           <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?> <?><?> CTRL + C
           <?><?><?> <?><?><?><?> <?><?><?> <?><?><?><?><?><?><?> <?><?><?>.

           stratoshark(1), strato(1), dumpcalls(1), dumpcap(1), extcap(4)

<?><?><?><?> (NOTES)
       falcodump <?><?><?><?> <?><?> <?><?><?><?><?> Stratoshark <?><?><?>.
       <?><?><?><?><?> <?><?><?><?><?> Stratoshark <?><?>
       <?><?><?><?><?><?><?> <?><?> <?><?><?> <?><?><?><?><?> <?><?><?><?>:
       <https://www.wireshark.org>.

       <?><?><?><?><?><?><?><?> HTML <?><?><?><?><?> <?><?><?><?><?><?><?>
       <?><?><?><?><?><?> Wireshark <?><?> <?><?><?> <?><?><?><?><?> <?><?>
       <?><?><?><?><?> <?><?><?><?><?>:
       <https://www.wireshark.org/docs/man-pages>.

<?><?><?><?><?><?><?><?><?> (AUTHORS)
       <?><?><?><?><?><?><?> <?><?><?><?>
       Gerald Combs <gerald[AT]wireshark.org>

                                  2026-09-03                      FALCODUMP(1)