Falco.

Quelloffene Cloud-Native-Runtime-Security-Engine, die ungewohnliches Verhalten in Containern, Hosts und Kubernetes erkennt, indem sie Syscalls und Audit-Events durch ein Regelwerk streamt. Es gehört zur Kategorie Verteidigung und Betrieb der Cybersicherheit.

Quelloffene Cloud-Native-Runtime-Security-Engine, die ungewohnliches Verhalten in Containern, Hosts und Kubernetes erkennt, indem sie Syscalls und Audit-Events durch ein Regelwerk streamt.

Falco ist ein unter Apache-2.0-Lizenz stehendes Runtime-Security-Werkzeug, das ursprunglich von Sysdig entwickelt und an die Cloud Native Computing Foundation (CNCF) gespendet wurde, wo es 2024 den Status Graduated erreichte. Es konsumiert Linux-Syscalls uber eine eBPF-Probe oder ein Kernelmodul sowie Kubernetes-Audit-Logs und einbindbare Event-Quellen (AWS CloudTrail, Okta, GitHub) und prufft sie gegen ein YAML-Regelwerk. Out-of-the-box-Regeln erkennen Container-Escapes, Shells im Container, Schreibvorgange unter /etc, unerwartete ausgehende Verbindungen und Privilegienerweiterungen. Alarme werden meist an falcosidekick gesendet, das sie nach Slack, OpsGenie, Loki oder ein SOAR weiterreicht. Falco ist die bevorzugte Runtime-Schicht in Kubernetes-nativen SOCs neben Admission-Controllern wie Kyverno.

Schutzmaßnahmen gegen Falco kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: Falco Runtime Security, Sysdig Falco.