Falco

Falco 使用 eBPF 在内核层面监控系统调用，并将其与规则引擎进行比对，实时检测可疑行为——容器内启动了一个 shell、读取了敏感文件、尝试提权——并立即发出告警，而不是事后才发现。它是一个 CNCF 毕业项目，专注于运行时威胁检测。

Falco 适合那些需要在系统运行期间检测活跃威胁和异常行为的安全团队，与目录中的 Trivy 和 Kyverno 形成互补——后两者在部署前扫描镜像并执行策略，而 Falco 则监控运行时实际发生的情况。