用途：Falco 是 CNCF 毕业的运行时安全项目，通过驱动采集 Linux 内核系统调用与 Kubernetes 审计事件，用 YAML 规则实时告警。本技能聚焦用它检测容器内运行时威胁，如容器逃逸、命名空间操纵（setns）、特权挂载、反向 shell 与异常外联。
主要能力：支持现代 eBPF 探针（默认首选，需内核 >= 5.8，内置于二进制无需 init 容器）、旧版 eBPF 与内核模块三种驱动；Kubernetes 上以 DaemonSet 每节点监控，falcoctl 可自动安装更新规则。规则含 rule、desc、condition、output、priority 及可选 tags，可复用 macro 与 list。
使用方式：Helm 安装示例：helm repo add falcosecurity https://falcosecurity.github.io/charts 后 helm install falco falcosecurity/falco --namespace falco --create-namespace --set driver.kind=modern_ebpf。Linux 可用软件包安装。自定义规则放 /etc/falco/rules.d/，用 sudo falco --validate 校验，-r 加载测试。驱动选择可用 falcoctl driver config --type modern_ebpf。告警可用 Falcosidekick 转发到 Elastic、Splunk 等 SIEM。
适用场景：为 Kubernetes/Docker 构建运行时检测、以紫队方式验证逃逸与横向移动告警、覆盖新披露运行时 CVE、加固 SOC 容器遥测管道。
限制：需可管理的 Linux 主机或集群，现代 eBPF 需内核 >= 5.8；需基本了解 evt.type、proc.name、container.id、fd.name 等字段。资料未提供收费、价格、性能或平台覆盖等更多信息。