用途：在运行时检测容器逃逸尝试，适用于安全事件调查、构建检测规则与威胁狩猎、SOC 分析流程以及验证安全监控覆盖。
主要能力：识别常见逃逸向量，如特权容器、Docker socket 挂载、内核漏洞、能力滥用、敏感挂载、命名空间逃逸与符号链接/绑定挂载；从系统调用监控、文件完整性、进程监控、网络监控和审计日志等层面检测。
使用方式：部署 Falco 进行运行时检测（如通过 Helm 安装并配置 eBPF 驱动、JSON 输出与 HTTP 输出），编写自定义 Falco 规则检测特权模式逃逸、Docker socket 访问、敏感 /proc 路径访问、cgroup 逃逸、内核模块加载、命名空间操作与敏感挂载；配置 seccomp 配置文件记录逃逸相关系统调用；配置 auditd 规则监控命名空间、挂载、内核模块、ptrace 及敏感路径；并搭建实时告警管道路由至 Slack、Elasticsearch 或 PagerDuty。资料还提供了验证命令，如运行事件生成器、查看 Falco 日志、检查 seccomp 配置与审计日志。
适用场景：容器安全监控、入侵检测、合规审计与事件响应。
限制：需要 Linux 主机内核 5.10+（eBPF 支持）、Falco 0.37+、Docker 或 containerd 运行时、已配置 auditd，以及加载 eBPF/内核模块所需的 root 权限。资料未提供其他平台支持、收费或效果说明。