falco

Falco 是一款面向云原生环境的开源运行时安全检测工具，用于实时监控 Linux 内核系统调用并识别异常行为与潜在威胁。其核心基于 eBPF 和内核模块实现高保真事件采集，支持通过可扩展规则引擎匹配容器、Kubernetes 元数据增强的上下文事件，并将告警输出至日志、SIEM 或消息队列。项目已通过 CNCF 毕业认证，适用于容器化微服务、Kubernetes 集群及混合云基础设施的安全审计、入侵检测与合规监控场景。