Regras do Falco
Configuração em YAML da segurança em runtime do Falco. As regras definem condições (padrão de syscall, nome do processo, caminho de arquivo), mensagem de saída e prioridade (INFO/WARNING/ERROR/CRITICAL). O conjunto padrão tem mais de 100 regras para ameaças comuns.
Exemplo de regra: condition: spawned_process and shell_procs and proc.tty != 0 → alerta quando um shell é iniciado de forma interativa dentro de um contêiner. Macros e listas servem para reaproveitar trechos. O Falcosidekick encaminha eventos para Slack, PagerDuty ou Splunk. Regras próprias cobrem ameaças específicas da aplicação. Nas equipes de segurança modernas, as regras do Falco ficam no git, são implantadas via CI/CD e versionadas como qualquer outro IaC. Código aberto: centenas de regras contribuídas pela comunidade, inclusive para ameaças específicas (malware em npm, cryptojackers, padrões de movimento lateral).