Règles Falco
Configuration YAML pour la sécurité runtime de Falco. Les règles définissent des conditions (motif d'appel système, nom de processus, chemin de fichier), un message de sortie, une priorité (INFO/WARNING/ERROR/CRITICAL). Le jeu de règles par défaut couvre plus de 100 menaces courantes.
Règle d'exemple : condition: spawned_process and shell_procs and proc.tty != 0 → alerte quand un shell démarre de façon interactive dans un conteneur. Macros et listes permettent la réutilisation. Falcosidekick relaie les événements vers Slack, PagerDuty ou Splunk. Des règles personnalisées couvrent les menaces propres à chaque application. Une équipe sécurité moderne garde ses règles Falco dans git, les déploie via CI/CD, versionnées comme n'importe quel autre IaC. Open source : des centaines de règles contribuées par la communauté. Falco Sandbox, piloté par la communauté, fournit des règles pour des menaces spécifiques (malware npm, cryptojackers, mouvements latéraux).