Falco
运行时威胁检测：按规则匹配内核事件（syscall），发现异常行为就出告警。
从内核拿 syscall 事件流（现代内核走 eBPF 驱动，也有内核模块方案），用一套规则语言匹配可疑行为：容器里起了 shell、写入 /etc、读取 ServiceAccount token、非预期的出站连接。命中即产生结构化告警，经 falcosidekick 转发到告警通道或 SIEM。它是**检测**工具，默认不做拦截。CNCF 毕业项目。
上游活跃度
2026-08-23 抓取 · 数据来自 falcosecurity/falco (github)star9,293
最近提交2026-08-03
最新版本0.44.12026-06-11
数字由构建期抓取，非实时；star 数不同代码托管平台之间不可直接比较。
运行依赖
- 支持 eBPF 的内核（或安装内核模块）；DaemonSet 需要特权
上手前注意
- **默认规则在真实集群里噪音很大**：不投入时间做例外与调优，最终结果是所有人都不再看它的告警
- 它只检测不拦截 —— 想阻断要另接响应动作（Falco Talon 之类），那是另一套东西的复杂度
- 特权 DaemonSet + 内核事件流本身就是一个高权限组件，它的告警通道与凭据要按高敏感对待