【ファルコ】

Falco とは？

最終更新: 2026年10月4日

💡 動いているシステムを見守り、気になる動きを知らせる

動いているシステムのイベントをルールに照らし、不審な動作の兆候を知らせるオープンソースのセキュリティツール。Linuxのホストやコンテナなどで使い、プラグインで別のイベントも扱えます。検知結果を調べて対応する運用と組み合わせます。

📌 このページのポイント

イベントとルールを照合するFalco。収集方法と通知・対応は環境に合わせて設定します。

ひよこ

Falcoは、コンテナのウイルス検査なの？

ペンギン先生

動いているシステムで、どんな操作が起きているかを見るツールだよ。Linuxのホストやコンテナなどからイベントを受け取り、決めた条件に合う動作を知らせるんだ。CNCFの卒業プロジェクトとして公開されているよ。

ひよこ

例えば、どんな動きに気づけるの？

ペンギン先生

コンテナ内のシェル起動や、予想しないネットワーク接続などをルールで調べられるよ。ただし、シェル起動そのものが必ず攻撃というわけではない。通常の運用か、不正な操作かを周囲の情報と合わせて確認しよう。

ひよこ

eBPFだけで、すべてを監視するの？

ペンギン先生

Linuxカーネルのイベントはドライバーで収集するよ。公式資料ではmodern eBPF probeやカーネルモジュールを説明している。プラグインを使って別の種類のイベントを扱う方法もあるんだ。対象と設定に合う収集方法を選ぼう。

ひよこ

ルールは、自分の環境に合わせられる？

ペンギン先生

YAMLで条件と通知文などを定義できるよ。用意されたルールを起点に、業務で必要な操作と区別できるよう調整するんだ。通知が多すぎるからと、根拠なく全部無効にするのは避けたいね。

ひよこ

知らせた後は、自動で攻撃を止めるの？

ペンギン先生

Falcoの中心は検知と通知だよ。標準出力やファイル、HTTPなどへ出せて、Falcosidekickなどで通知先との連携を広げられる。実際の調査や対応は別に組み合わせるんだ。脆弱性の検査やアクセス制御も、それぞれの役割で使おう。

まとめ：ざっくりこれだけ覚えればOK！

「Falco」って出てきたら「動いているシステムの不審な動きを、ルールで見つけて知らせるツール」と思えばだいたいOK！

📖 おまけ：英語の意味

「Falco」＝セキュリティツールのプロジェクト名

💬 実行中に起きるイベントを見守り、ルールに合う動作を知らせるツールの名前だよ。

参考資料