Falco

Falco observa las llamadas al sistema a nivel de kernel usando eBPF y las evalúa contra un motor de reglas para detectar comportamientos sospechosos en tiempo real —una shell abierta dentro de un contenedor, la lectura de un archivo sensible, un intento de escalada de privilegios— y alerta de inmediato en lugar de después. Es un proyecto graduado de la CNCF centrado específicamente en la detección de amenazas en tiempo de ejecución.

Falco encaja en equipos de seguridad que necesitan detectar amenazas activas y comportamientos anómalos mientras un sistema está en funcionamiento, complementando a Trivy y Kyverno (también en este catálogo): esos escanean imágenes y aplican políticas antes del despliegue, mientras que Falco observa lo que realmente ocurre en tiempo de ejecución.