Falco
Sicurezza runtime open source per Linux e Kubernetes. Sysdig 2016, CNCF Graduated nel 2024. Basato su eBPF. Rileva comportamenti anomali: shell in un container, scritture in directory di sistema, lettura di file sensibili. Regole predefinite più policy YAML personalizzate.
Casi d'uso: fughe da container, rilevamento di cryptojacking, operazioni privilegiate accidentali. Output: stdout, JSON, syslog, gRPC. Falcosidekick inoltra gli eventi a oltre 60 destinazioni (Slack, PagerDuty, Datadog). Falco Operator: distribuzione e gestione su Kubernetes. Concorrenti: Tetragon (Cilium), Tracee (Aqua Security), soluzioni commerciali (CrowdStrike, Wiz). Overhead: 1–5 % di CPU su carichi tipici. Regole predefinite: oltre 100 per le minacce comuni. Stack di sicurezza moderno: Falco + Polkit + AppArmor/SELinux per la difesa in profondità.