Falco
Open source-инструмент безопасности времени выполнения для Linux и Kubernetes. Sysdig, 2016, CNCF Graduated в 2024. На основе eBPF. Ловит аномалии: shell в контейнере, запись в системные каталоги, чтение чувствительных файлов.
Сценарии: побеги из контейнеров, обнаружение криптоджекинга, случайные привилегированные операции. Вывод: stdout, JSON, syslog, gRPC. Falcosidekick пересылает события более чем в 60 получателей (Slack, PagerDuty, Datadog). Falco Operator разворачивает и обслуживает Falco в Kubernetes. Правила по умолчанию (100+) покрывают типичные угрозы, свои политики пишутся в YAML. Накладные расходы — 1–5 % CPU на типичных нагрузках.
Конкуренты: Tetragon (Cilium), Tracee (Aqua Security), коммерческие (CrowdStrike, Wiz). Современная связка: Falco + Polkit + AppArmor/SELinux для эшелонированной защиты.