Falco

Falco signaleert afwijkend gedrag, zoals een shell in een container, schrijfacties naar systeemmappen of het lezen van gevoelige bestanden. Er zijn standaardregels (ruim honderd) en eigen beleid in YAML. Typische toepassingen: container escapes, cryptojacking en onbedoelde geprivilegieerde handelingen. Uitvoer gaat naar stdout, JSON, syslog of gRPC; Falcosidekick stuurt meldingen door naar 60+ bestemmingen, van Slack tot PagerDuty en Datadog.

Concurrenten zijn Tetragon (Cilium), Tracee (Aqua Security) en commerciële producten van CrowdStrike en Wiz. De overhead ligt doorgaans op 1–5% cpu. Als onderdeel van defense-in-depth combineert Falco goed met AppArmor of SELinux.