Falco.

Motor de seguridad en tiempo de ejecucion cloud-native de codigo abierto que detecta comportamientos anomalos en contenedores, hosts y Kubernetes transmitiendo syscalls y eventos de auditoria a un motor de reglas. Pertenece a la categoría de Defensa y operaciones en ciberseguridad.

Motor de seguridad en tiempo de ejecucion cloud-native de codigo abierto que detecta comportamientos anomalos en contenedores, hosts y Kubernetes transmitiendo syscalls y eventos de auditoria a un motor de reglas.

Falco es una herramienta de runtime security con licencia Apache 2.0 creada originalmente por Sysdig y donada a la Cloud Native Computing Foundation (CNCF), donde alcanzo el estado Graduated en 2024. Consume syscalls de Linux mediante una sonda eBPF o un modulo del kernel, junto con audit logs de Kubernetes y fuentes conectables (AWS CloudTrail, Okta, GitHub), y las evalua contra un conjunto de reglas en YAML. Las reglas predefinidas detectan escapes de contenedor, shells dentro del contenedor, escrituras en /etc, conexiones salientes inesperadas y elevacion de privilegios. Los operadores envian las alertas a falcosidekick para reenviarlas a Slack, OpsGenie, Loki o a un SOAR. Falco es la capa de runtime preferida en SOCs nativos de Kubernetes junto a controladores de admision como Kyverno.

Las defensas contra Falco combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: seguridad en tiempo de ejecucion Falco, Sysdig Falco.