Falco
Open-Source-Runtime-Security für Linux und Kubernetes. Sysdig 2016, CNCF Graduated 2024. eBPF-basiert. Erkennt anomales Verhalten: Shell im Container, Schreibzugriff auf Systemverzeichnisse, Zugriff auf sensible Dateien. Standardregeln plus eigene YAML-Policies.
Einsatzgebiet: Container-Escapes, Cryptojacking-Erkennung, versehentliche privilegierte Operationen. Ausgabe: stdout, JSON, Syslog, gRPC. Falcosidekick leitet Events an über 60 Ziele weiter (Slack, PagerDuty, Datadog). Falco Operator übernimmt Deployment und Verwaltung auf Kubernetes. Konkurrenz: Tetragon (Cilium), Tracee (Aqua Security), kommerziell CrowdStrike und Wiz. Performance-Overhead: 1–5 % CPU bei typischen Workloads. Über 100 Standardregeln für gängige Bedrohungen. Moderner Security-Stack: Falco plus Polkit plus AppArmor/SELinux für Defense-in-Depth.