Falco とは？

コンテナやKubernetesの上で「起きていること」をリアルタイム監視して、不審な動きをすぐに検知してくれるセキュリティツールだよ

例えば「コンテナの中でシェルが起動した」「/etc/passwd を読もうとした」「ネットワーク接続が外部に向いた」などをルールで検知できるよ。攻撃者がコンテナに入り込んだときの行動パターンを検知するイメージだね

Trivyは「コンテナを起動する前に」脆弱性がないかチェックする静的スキャナだよ。Falcoは「コンテナが動いている最中に」おかしいことが起きたら検知するんだ。守る場面が違うんだね

eBPFっていうLinuxの仕組みを使っているよ。カーネルのシステムコール（ファイルアクセス、プロセス起動、ネットワーク通信など）をフックして、ルールに違反したらアラートを出すんだ

書けるよ。YAMLで「こういうシステムコールがこの条件で呼ばれたらアラート」という形式で定義できるんだ。デフォルトのルールセットも充実していて、そのまま使ってもかなり役立つよ

Slackやメール、SIEMツール（Splunkなど）にリアルタイムで通知できるよ。Kubernetes上ではFalcosidekickというコンパニオンツールと組み合わせると出力先を柔軟に設定できるんだ