Falco

Falco は eBPF を使ってカーネルレベルでシステムコールを監視し、ルールエンジンと照合して怪しい挙動をリアルタイムで検知します——コンテナ内でシェルが起動された、機密ファイルが読み取られた、権限昇格の試みがあった、などです。事後ではなく即座にアラートを発します。CNCF を卒業したプロジェクトで、特にランタイムの脅威検知に特化しています。

Falco は、システムが稼働している間にアクティブな脅威や異常な挙動を検知する必要があるセキュリティチームに向いています。(カタログにもある) Trivy や Kyverno を補完する存在で、それらはデプロイ前にイメージをスキャンしポリシーを適用するのに対し、Falco はランタイムで実際に起きていることを監視します。