用途：在容器化环境中部署和管理 Falco 规则，进行运行时安全检测与云原生取证，并将 Falco 告警用于事件响应。适用场景包括安全评估、事件响应流程、计划性安全测试或审计，以及通过动手测试验证安全控制。
主要能力：通过监控 syscall 检测容器内 shell 启动、敏感文件访问（如 /etc/shadow、/etc/passwd）、意外容器的出站连接、通过 setuid/setgid 的权限提升，以及通过 mount 或 ptrace 的容器逃逸。资料提供了一条自定义规则示例，规则名为 Shell Spawned in Container，条件为 spawned_process and container and proc.name in (bash, sh, zsh, dash, csh) and not proc.pname in (docker-entrypo, supervisord)，输出包含 user、command、container、image 字段，优先级 WARNING，标签为 container、shell、mitre_execution。
使用方式：资料给出的命令为 falco -r /etc/falco/custom_rules.yaml -o json_output=true，以及用 Python 解析 JSON 告警：cat /var/log/falco/alerts.json | python3 -c "import json,sys; [print(json.loads(l)['output']) for l in sys.stdin]"。
前提条件：需要熟悉云安全概念与工具、可用的测试或实验环境、Python 3.8+ 及所需依赖，并对任何测试活动拥有适当授权。
限制：资料未提供具体安装步骤、支持的 Falco 版本、平台差异、性能影响或收费信息，这些内容暂未提供。