FALCODUMP(1)   FALCODUMP(1) نام (NAME) falcodump - تخلیه داده‌های لاگ به یک فایل با استفاده از افزونه منبع Falco. خلاصه دستور (SYNOPSIS) گزینه‌های عمومی falcodump [ --help ] [ --version ] [ --plugin-api-version ] [ --extcap-interfaces ] [ --extcap-dlts ] [ --extcap-interface= ] [ --extcap-config ] [ --extcap-capture-filter= ] [ --capture ] [ --fifo= ] [ --plugin-source= ] [ --log-level= ] [ --log-file= ] گزینه‌های افزونه CloudTrail [ --cloudtrail-s3downloadconcurrency= ] [ --cloudtrail-s3interval= ] [ --cloudtrail-s3accountlist= ] [ --cloudtrail-sqsdelete= ] [ --cloudtrail-useasync= ] [ --cloudtrail-uses3sns= ] [ --cloudtrail-aws-region= ] [ --cloudtrail-aws-profile= ] [ --cloudtrail-aws-config= ] [ --cloudtrail-aws-credentials= ] توضیحات (DESCRIPTION) falcodump یک ابزار extcap است که امکان ضبط پیام‌های لاگ از ارائه‌دهندگان ابری را فراهم می‌کند. هر افزونه به عنوان یک رابط جداگانه فهرست می‌شود. برای نمونه، افزونه بازرسی Kubernetes با عنوان “k8saudit” و افزونه AWS CloudTrail با عنوان “cloudtrail” فهرست می‌شود. گزینه‌ها (OPTIONS) --help چاپ آرگومان‌های برنامه. این گزینه همچنین آرگومان‌های پیکربندی مربوط به هر افزونه را فهرست می‌کند. --version چاپ نسخه برنامه. --plugin-api-version چاپ نسخه API افزونه Falco. --extcap-interfaces فهرست کردن رابط‌های در دسترس. --extcap-interface= استفاده از رابط مشخص‌شده. --extcap-dlts فهرست کردن DLTهای رابط مشخص‌شده. --extcap-config فهرست کردن گزینه‌های پیکربندی رابط مشخص‌شده. --extcap-capture-filter= فیلتر ضبط. باید یک فیلتر معتبر Sysdig / Falco باشد. --capture شروع ضبط از منبع مشخص‌شده توسط --plugin-source از طریق رابط تعیین‌شده و نوشتن داده‌های خام بسته به مکان مشخص‌شده با --fifo. --fifo= ذخیره بسته ضبط‌شده در فایل یا ارسال آن از طریق پایپ (pipe). --plugin-source= ضبط از مکان مشخص‌شده. --log-level تنظیم سطح ثبت لاگ. --log-file تنظیم یک فایل لاگ جهت ثبت پیام‌ها علاوه بر کنسول. cloudtrail (AWS CloudTrail) --cloudtrail-s3downloadconcurrency تعداد goroutineهای پس‌زمینه مورد استفاده برای بارگیری فایل‌های S3 را کنترل می‌کند (پیش‌فرض: 32) --cloudtrail-s3interval بارگیری فایل‌های لاگ در بازهٔ زمانی مشخص‌شده (پیش‌فرض: بدون بازه) --cloudtrail-s3accountlist اگر منبع یک باکت S3 متعلق به سازمان در CloudTrail باشد، فایل‌های لاگ را برای تمام شناسه‌های حساب (account IDs) مشخص‌شده بارگیری می‌کند (پیش‌فرض: بدون شناسه حساب) --cloudtrail-sqsdelete اگر true باشد، پلاگین پیام‌های SQS را بلافاصله پس از دریافت از صف حذف می‌کند (پیش‌فرض: true) --cloudtrail-useasync اگر true باشد، بهینه‌سازی استخراج ناهمگام (async) فعال می‌شود (پیش‌فرض: true) --cloudtrail-uses3sns اگر true باشد، پلاگین انتظار دارد پیام‌های SNS به جای ارسال مستقیم از Cloudtrail، از S3 منشأ گرفته باشند (پیش‌فرض: false) --cloudtrail-aws-profile در صورت غیرخالی بودن، نمایهٔ پیکربندی مشترک AWS (مانند 'default') و متغیرهای محیطی نظیر AWS_PROFILE را بازنویسی می‌کند (پیش‌فرض: خالی) --cloudtrail-aws-region در صورت غیرخالی بودن، منطقهٔ (region) مشخص‌شده در نمایهٔ AWS (مانند 'us-east-1') و متغیرهای محیطی نظیر AWS_REGION را بازنویسی می‌کند (پیش‌فرض: خالی) --cloudtrail-aws-config در صورت غیرخالی بودن، مسیر فایل پیکربندی مشترک AWS (مانند ~/.aws/config) و متغیرهای محیطی نظیر AWS_CONFIG_FILE را بازنویسی می‌کند (پیش‌فرض: خالی) --cloudtrail-aws-credentials در صورت غیرخالی بودن، مسیر فایل اعتبارنامه‌های مشترک AWS (مانند ~/.aws/credentials) و متغیرهای محیطی نظیر AWS_SHARED_CREDENTIALS_FILE را بازنویسی می‌کند (پیش‌فرض: خالی) منابع CloudTrail می‌توانند باکت‌های S3 یا نشانی‌های URL صف SQS باشند. نشانی‌های باکت S3 ساختاری به شکل زیر دارند: 's3://bucket_name/prefix/AWSLogs/account-id/CloudTrail/region/year/month/day' برای CloudTrail سازمانی، نشانی باکت S3 می‌تواند به این صورت باشد: 's3://bucket_name/prefix/AWSLogs/org-id/account-id/CloudTrail/region/year/month/day' بخش‌های region، year، month و day را می‌توان برای دریافت داده‌های بیشتر یا کمتر حذف کرد. برای مثال، منبع 's3://mybucket/AWSLogs/012345678/CloudTrail/us-west-2/2023' تمام لاگ‌های CloudWatch مربوط به سال ۲۰۲۳ را واکشی خواهد کرد. اگر نشانی URL با 'account-id/' یا 'account-id/CloudTrail/' خاتمه یابد (مانند 's3://mybucket/AWSLOGS/012345678912/')، گزینهٔ '--cloudtrail-s3interval' می‌تواند برای تعیین بازهٔ زمانی استفاده شود. به عنوان مثال، یک s3interval با مقدار '1d' تمام رویدادهای ۲۴ ساعت گذشته را از همهٔ مناطق موجود دریافت می‌کند. مقدار '2w-1w' تمام رویدادهای همهٔ مناطق را از دو هفته پیش تا یک هفته پیش واکشی خواهد کرد. همچنین s3interval می‌تواند به عنوان یک مهر زمانی بر اساس RFC 3339 تعریف شود، مانند '2024-02-29T18:07:17Z' یا '2024-02-29T00:00:00Z-2024-03-01T23:59:59Z'. اگر نشانی URL با 'AWSLogs/org-id' پایان یابد، گزینهٔ '--cloudtrail-s3accountlist' می‌تواند برای مشخص کردن شناسه‌های حساب به کار رود. این مورد می‌تواند با '--cloudtrail-s3interval' ترکیب شود. منبعی مانند 's3://my-org-bucket/AWSLogs/o-123abc/' در حالی که '--cloudstrail-s3accountlist' برابر با '123456789012,987654321098' و '--cloudtrail-s3interval' برابر با '30m' تنظیم شده باشد، تمام رویدادهای ۳۰ دقیقهٔ گذشته را از همهٔ مناطق برای حساب‌های 123456789012 و 987654321098 واکشی می‌کند. اگر نشانی URL منبع، باکت CloudTrail سازمانی باشد (مانند 's3://my-org-bucket/AWSLogs/o-123abc') و '--s3accountlist' تنظیم نشده باشد، پلاگین روی تمام حساب‌ها پیمایش می‌کند (در صورت تنظیم '--s3interval'، محدود به آن بازه می‌شود). توجه: بسته به اندازهٔ سازمان و بازهٔ زمانی، این فرایند ممکن است زمان زیادی ببرد. پلاگین cloudtrail از AWS SDK for Go استفاده می‌کند، که می‌تواند تنظیمات نمایه، منطقه و اعتبارنامه را از مجموعه‌ای از متغیرهای محیطی و فایل‌های پیکربندی استاندارد دریافت کند. ابزار Falcodump فهرستی از نمایه‌های پیکربندی‌شدهٔ محلی و مناطق فعلی را نشان می‌دهد و به شما امکان می‌دهد یک مقدار سفارشی نیز وارد کنید. اطلاعات بیشتر در README پلاگین CloudTrail در دسترس است. مثال‌ها (EXAMPLES) برای مشاهده آرگومان‌های برنامه: falcodump --help برای مشاهده نسخه برنامه: falcodump --version برای مشاهده رابط‌ها: falcodump --extcap-interfaces تنها از یک رابط (falcodump) پشتیبانی می‌شود. خروجی نمونه interface {value=cloudtrail}{display=Falco plugin} برای مشاهده DLTهای رابط: falcodump --extcap-interface=cloudtrail --extcap-dlts خروجی نمونه dlt {number=147}{name=cloudtrail}{display=USER0} برای مشاهده گزینه‌های پیکربندی رابط: falcodump --extcap-interface=cloudtrail --extcap-config خروجی نمونه arg {number=0}{call=--plugin-source}{display=Plugin source}{type=string}{tooltip=The plugin data source. This us usually a URL.}{placeholder=Enter a source URL…}{required=true}{group=Capture} arg {number=1}{call=cloudtrail-s3downloadconcurrency}{display=s3DownloadConcurrency}{type=integer}{default=1}{tooltip=Controls the number of background goroutines used to download S3 files (Default: 1)}{group=Capture} arg {number=2}{call=cloudtrail-sqsdelete}{display=sqsDelete}{type=boolean}{default=true}{tooltip=If true then the plugin will delete sqs messages from the queue immediately after receiving them (Default: true)}{group=Capture} arg {number=3}{call=cloudtrail-useasync}{display=useAsync}{type=boolean}{default=true}{tooltip=If true then async extraction optimization is enabled (Default: true)}{group=Capture} برای ضبط رویدادهای AWS CloudTrail از یک باکت S3: falcodump --extcap-interface=cloudtrail --fifo=/tmp/cloudtrail.pcap --plugin-source=s3://aws-cloudtrail-logs.../CloudTrail/us-east-2/... --capture یا: falcodump --capture --extcap-interface cloudtrail --fifo ~/cloudtrail.pcap --plugin-source s3://my-cloudtrail-bucket/AWSLogs/o-abc12345/123456789012/ --cloudtrail-s3downloadconcurrency 32 --cloudtrail-s3interval 5d-2d --cloudtrail-aws-region eu-west-1 نکته برای اطمینان از خاتمهٔ تمیز فرایند، باید از CTRL + C جهت توقف ضبط استفاده شود. stratoshark(1), strato(1), dumpcalls(1), dumpcap(1), extcap(4) نکات (NOTES) falcodump بخشی از توزیع Stratoshark است. آخرین نسخهٔ Stratoshark را می‌توان در این نشانی یافت: . نسخه‌های HTML صفحات راهنمای پروژهٔ Wireshark در این نشانی در دسترس هستند: . نویسندگان (AUTHORS) نویسنده اصلی Gerald Combs   2026-09-03 FALCODUMP(1)