falco

Falco est un outil de sécurité runtime cloud natif pour Linux qui surveille les appels système et les événements de conteneurs en temps réel. Il utilise un moteur basé sur des règles pour détecter les comportements anormaux et déclencher des alertes, qui peuvent être enrichies avec des métadonnées provenant de Kubernetes et des runtimes de conteneurs. Le projet est une initiative diplômée de la CNCF, issue à l'origine de Sysdig, et est utilisé en production par de nombreuses organisations. Le dépôt principal contient le binaire Falco, tandis que les composants associés tels que libs, règles, plugins, falcoctl et les chartes Helm sont hébergés dans des dépôts séparés. Les utilisateurs peuvent commencer avec le guide de démarrage, déployer Falco dans divers environnements et intégrer les alertes avec des SIEM ou des lacs de données. Le projet fournit une documentation complète, une configuration de démonstration Docker-compose et un support communautaire actif via Slack, des listes de diffusion et des problèmes GitHub. Des audits de sécurité et des directives de bonnes pratiques sont disponibles publiquement. La compilation à partir des sources nécessite CMake avec les options pilote et BPF moderne, et les tests peuvent être effectués avec la suite de tests unitaires. Les contributions suivent le guide de contribution et le code de conduite du projet. Falco est sous licence Apache 2.0.