Falco
LinuxとKubernetes向けのオープンソースのランタイムセキュリティ。2016年にSysdigが開発し、2024年にCNCF Graduatedとなった。eBPFベースで、コンテナ内シェル起動、システムディレクトリへの書き込み、機密ファイルの読み取りといった異常な挙動を検知する。デフォルトルールとYAMLのカスタムポリシーを備える。
用途はコンテナからの脱出、クリプトジャッキングの検知、意図しない特権操作など。出力先はstdout、JSON、syslog、gRPC。Falcosidekickは60以上の宛先（Slack、PagerDuty、Datadog）へイベントを転送する。Falco OperatorはKubernetes上での展開と管理を担う。競合はTetragon（Cilium）、Tracee（Aqua Security）、商用製品（CrowdStrike、Wiz）。性能オーバーヘッドは一般的なワークロードでCPUの1〜5%程度。デフォルトルールは一般的な脅威向けに100以上ある。多層防御としては、Falco＋Polkit＋AppArmor/SELinuxの組み合わせが現代的なセキュリティスタックだ。