Falco-regels
YAML-configuratie voor Falco-runtimebeveiliging. Regels bepalen voorwaarden (syscallpatroon, procesnaam, bestandspad), de uitvoermelding en de prioriteit (INFO/WARNING/ERROR/CRITICAL). De standaardset telt ruim 100 regels voor gangbare dreigingen.
Voorbeeldregel: condition: spawned_process and shell_procs and proc.tty != 0 geeft alarm als er interactief een shell wordt gestart in een container. Macro's en lijsten maken hergebruik mogelijk. Falcosidekick stuurt events door naar Slack, PagerDuty of Splunk. Eigen regels dekken app-specifieke dreigingen. Een modern beveiligingsteam beheert Falco-regels in git, rolt ze uit via CI/CD en versiebeheert ze zoals andere IaC. Open source: honderden door de community bijgedragen regels. Falco Sandbox (door de community gedreven): regels voor specifieke dreigingen (npm-malware, cryptojackers, laterale bewegingspatronen).