法尔科
0.39.1
Falco 是一款适用于 Linux 操作系统的云原生运行时安全工具。它旨在实时检测异常行为和潜在安全威胁并发出警报。
Falco 的核心是一个内核监控和检测代理，它根据自定义规则观察系统调用等事件。 Falco 可以通过集成来自容器运行时和 Kubernetes 的元数据来增强这些事件。收集到的事件可以在 SIEM 或数据湖系统中进行脱离主机分析。
Falco 最初由 Sysdig 创建，是云原生计算基金会 (CNCF) 下的一个毕业项目，被多个组织用于生产。
有关 Falco 可以检测到的网络威胁的详细技术信息和见解，请访问 Falco 官方网站。
有关项目最新更新和更改的全面信息，请参阅更改日志。此外，我们还记录了交付新版本 Falco 的发布流程。
这是主要的 Falco 存储库，其中包含用于构建 Falco 二进制文件的源代码。通过利用其库和 falco.yaml 配置文件，该存储库构成了 Falco 功能的基础。 Falco 存储库与以下核心存储库紧密互连：
欲了解更多信息，请访问 Falco 项目的官方中心：falcosecurity/evolution。它提供了有关项目存储库的宝贵见解和信息。
仔细查看并遵循官方文档。
Falco 采用者的注意事项和指导：
了解依赖关系：评估运行 Falco 的环境并考虑内核版本和架构。
定义威胁检测目标：清楚地识别您想要检测的威胁并评估 Falco 的优势和局限性。
考虑性能和成本：评估计算性能开销并与系统管理员或 SRE 保持一致。相应地进行预算。
选择构建和自定义方法：在开源 Falco 构建或创建自定义构建管道之间做出选择。根据需要自定义构建和部署过程，包括合并独特的测试或方法，以确保快速部署周期的弹性部署。
与输出目的地集成：将 Falco 与 SIEM、数据湖系统或其他首选输出目的地集成，为全面数据分析奠定坚实的基础，并实现有效的事件响应工作流程。
通过 docker-compose 文件提供了一个演示环境，该文件可以在 docker 主机上启动，其中包括 falco、falcosidekick、falcosidekick-ui 及其所需的 redis 数据库。有关更多信息，请参阅 docker-compose 部分
有关如何贡献的更多信息，请参阅贡献指南和行为准则。
要参与 Falco 项目，请访问社区存储库以查找更多信息和参与方式。
如果您对 Falco 或贡献有任何疑问，请随时提出问题或联系 Falco 维护者和社区成员寻求帮助。
如何伸出援手？
您可以在此处找到各种安全审核的完整报告。
此外，您可以参考 falco 和 libs 安全部分，了解安全建议和策略的详细更新。
要报告安全漏洞，请遵循此处文档中概述的社区流程。
通过探索 Falco 路线图，了解 Falco 不断发展的功能，该路线图提供了对当前正在开发和计划未来版本的功能的深入了解。
Falco 根据 Apache 2.0 开源许可证授权给您。
Falco 的从源代码构建 Falco 是了解如何从源代码构建 Falco 的首选资源。此外，falcosecurity/libs 存储库还提供有关 Falco 底层库和内核驱动程序的测试和调试的其他有价值的信息。
以下是cmake命令的示例，它将启用此存储库的所有单元测试所需的一切：
cmake
-DUSE_BUNDLED_DEPS=ON
-DBUILD_LIBSCAP_GVISOR=ON
-DBUILD_BPF=ON
-DBUILD_DRIVER=ON
-DBUILD_FALCO_MODERN_BPF=ON
-DCREATE_TEST_TARGETS=ON
-DBUILD_FALCO_UNIT_TESTS=ON .. ;构建并运行单元测试套件：
nproc= $( grep processor /proc/cpuinfo | tail -n 1 | awk ' {print $3} ' ) ;
make -j $(( $nproc - 1 )) falco_unit_tests ;
# Run the tests
sudo ./unit_tests/falco_unit_tests ;或者，构建您选择的驱动程序并测试运行 Falco 二进制文件以执行手动测试。
最后，Falco 项目已将其 Falco 回归测试转移到 falcosecurity/testing。
