Falco
Sécurité à l'exécution open source pour Linux et Kubernetes. Sysdig 2016, CNCF Graduated 2024. Basé sur eBPF. Détecte les comportements anormaux : shell dans un conteneur, écriture dans un répertoire système, lecture de fichier sensible. Règles par défaut + politiques YAML personnalisées.
Cas d'usage : évasions de conteneur, détection de cryptojacking, opérations privilégiées accidentelles. Sorties : stdout, JSON, syslog, gRPC. Falcosidekick transmet les événements vers plus de 60 destinations (Slack, PagerDuty, Datadog). Falco Operator déploie et gère l'ensemble sur Kubernetes. Concurrents : Tetragon (Cilium), Tracee (Aqua Security), solutions commerciales (CrowdStrike, Wiz). Surcoût de performance : 1 à 5 % de CPU sur des charges typiques. Règles par défaut : plus de 100 pour les menaces courantes. Pile de sécurité moderne : Falco + Polkit + AppArmor/SELinux pour une défense en profondeur.