Tracee

システムコールやカーネルイベントをeBPFでトレースする。単体のCLIとしても、デーモンとしても動かせ、用途はセキュリティイベントの検知、コンテナのフォレンジック、インシデント対応など。

常時監視向きのFalcoに対し、Traceeは必要なときに走らせて調べる道具という性格が強い。出力はイベントとカスタムシグネチャ（Rego、CEL、Goで記述）で、既知の脅威向けに70以上のシグネチャを標準搭載する。CNCFのSandboxプロジェクトで、商用のAquaプラットフォームとも連携する。Falco、Tetragon、Traceeは同じ系統の兄弟で、少しずつ得意な角度が違う。普及度ではFalcoに及ばないが、深く調べたいセキュリティ担当者には強力である。