Falco.

システムコールや監査イベントをルールエンジンに流し込み、コンテナ・ホスト・Kubernetes の異常を検出するクラウドネイティブなオープンソースのランタイムセキュリティエンジン。 サイバーセキュリティの 防御と運用 カテゴリに属します。

システムコールや監査イベントをルールエンジンに流し込み、コンテナ・ホスト・Kubernetes の異常を検出するクラウドネイティブなオープンソースのランタイムセキュリティエンジン。

Falco は Apache 2.0 ライセンスのランタイムセキュリティツールで、もともと Sysdig が開発し、Cloud Native Computing Foundation(CNCF)へ寄贈され、2024 年に Graduated に到達しました。eBPF プローブまたはカーネルモジュールで Linux のシステムコールを取得するほか、Kubernetes 監査ログや AWS CloudTrail・Okta・GitHub などのプラグイン可能なイベントソースを受け取り、YAML で定義されたルールセットに対して評価します。標準ルールはコンテナ脱出、コンテナ内シェル起動、/etc 配下への書き込み、想定外の外向き通信、権限昇格などを検出します。アラートは falcosidekick 経由で Slack・OpsGenie・Loki・SOAR に転送されます。Falco は Kyverno のような Admission Controller と組み合わさり、Kubernetes ネイティブな SOC のランタイム層として広く使われています。

Falco に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: Falco ランタイムセキュリティ, Sysdig Falco。