云原生运行时防护IDS应用安全【免费下载链接】falcoCloud Native Runtime Security项目地址https://gitcode.com/gh_mirrors/fa/falco点击查看免费下载Falco 是由 Sysdig 于 2016 年创建的云原生运行时安全工具也是 Cloud Native Computing FoundationCNCF的毕业项目被全球大量企业用于 Kubernetes 与容器环境的实时威胁检测。本文以当前仓库中的 ADOPTERS.md 为核心系统梳理 Falco 在生产环境中的采用者名单、各自的使用场景并结合仓库源码说明这些场景背后的技术支撑规则引擎、输出通道、插件系统与 libs 生态为读者评估 Falco 的落地价值、参考同类架构设计提供一手资料。Adopters 清单的定位与价值在 CNCF 生态中Adopters采用者清单是项目成熟度的直接证据之一。ADOPTERS.md 记录了公开声明在生产环境中使用 Falco 的组织以及基于 Falco 底层库构建产品的项目。这份清单一方面说明 Falco 已经跨越演示/实验阶段被金融、政府、制造、零售、航空、互联网等多个行业真实落地另一方面也反映了社区贡献者的来源——许多采用者同时向项目反馈需求、提交代码与规则。当前仓库的 README.md 也明确将被各类组织用于生产列为项目定位的一部分并提供了 docker/docker-compose 演示环境、chart/falco Helm 图表与 audits 安全审计报告方便新用户从零验证 Falco 的能力后再做采用决策。对项目有突出贡献的已知终端用户文档首先列出三位在 CNCF 语境下具有代表性的贡献者AWS亚马逊云服务在云原生安全领域的投入直接推动了 Falco 及其生态的演进。IBMIBM 在混合云与安全研究上的积累为 Falco 的治理与特性讨论提供了企业视角。Red Hat作为 Kubernetes 与 OpenShift 生态的核心厂商Red Hat 对运行时安全组件的采用与反馈极具行业示范效应。这三家属于known end users with notable contributions意味着它们不仅是使用者还通过代码、评审或治理参与为项目做出实质贡献。更广泛的使用者群体除上述贡献者外Falco 还被大量规模不一的企业用于构建更高层的产品与服务文档列出的部分名单包括Equinix MetalIEEELowesReckrutYellow PepperCTxUtikalDiscrete EventsAgritech Infra该列表包括但不限于上述企业说明 Falco 的真实采用面比公开名单更广。从仓库的 submodules/falcosecurity-rules官方规则集子模块与 e2e_tests 场景测试可以看出Falco 提供了开箱即用的规则库与可验证的检测场景这正是大量中小型团队能够快速接入的前提。生产环境采用者详述按字母序以下为文档列出的生产环境采用者及其公开的使用方式完整保留原始条目信息ASAPP聚焦人工智能研究其产品运行在客户体验行业。ASAPP 持续监控工作负载面临的各种风险Falco 帮助其扩展威胁监控边界。Booz Allen HamiltonBAH在 Kubernetes 环境中使用 Falco 验证工作负载是否与 CD DevSecOps 流水线中的行为一致。BAH 为内部开发者提供可快速搭建 DevSecOps 流水线的方案使安全原则在开发早期即可嵌入在生产环境中Falco 用于验证开发者交付的代码不违反生产安全要求。Coveo将所有 Falco 事件集中到 SIEM 中分析。面对容器与编排系统带来的抽象层级Coveo 通过 Falco 获得容器内部的可视性补充现有的主机与网络入侵检测系统HIDS/NIDS并计划在未来通过 serverless 函数对识别出的可疑模式自动采取行动。DeckhouseDeckhouse Platform 提供同构 Kubernetes 集群的创建与自动化管理。Falco 是其 runtime-audit-engine 模块的一部分用于开箱即用地提供威胁检测与安全合规通过与 shell-operator 配合Falco 可以经由 Kubernetes 自定义资源CR进行配置。Fairwinds其 Kubernetes 治理软件 Fairwinds Insights 集成 Falco提供潜在安全事件统一视图通过开箱即用的集成与规则过滤降低告警疲劳、改善安全响应为现有 Kubernetes 基础设施补充预防、检测与响应能力。Frame.io云上 SaaS 视频审阅协作平台。面对 Docker 与 Kubernetes 带来的抽象Frame.io 依赖 Falco 采集 open、connect、exec 等原始系统调用及其参数获得生产系统上的关键可见性并将其作为入侵检测与告警系统的基础。Giant Swarm跨多云与多种本地数据中心管理 Kubernetes 集群。Giant Swarm 使用 Falco 做异常检测作为其自身集群安全开源工具集的一部分并向客户提供同样的托管安全能力。GitLabGitLab Ultimate 提供应用、服务与云原生环境中的漏洞发现、分诊与修复能力。GitLab 与 Falco 紧密集成帮助用户在生产环境中防御容器化应用攻击。gVisorgVisor 通过在用户空间处理系统调用提供替代执行环境在安全问题到达宿主机之前将其阻断。Falco 可以在 gVisor 运行时执行信息之上使用其威胁检测引擎检测异常或可疑活动。关于该集成仓库中的 proposals/20251215-legacy-bpf-grpc-output-gvisor-engine-deprecation.md 披露了 gVisor libscap engine 的实现方式——它通过 gRPC 接收来自 gVisor 的事件将 gVisor 作为系统调用事件源之一同时该提案也说明这一引擎使用率较低、事件类型覆盖不完全正被纳入弃用流程未来相关能力可能以独立 source 插件形式提供。League健康福利管理服务商。League 使用 Falco 监控 Kubernetes 上部署的服务防止对容器的恶意访问导致 PHI受保护健康信息等敏感数据泄露Falco 告警记录到 Stackdriver 进行归组与进一步分析。Logz.io云可观测性平台其 Cloud SIEM 支持多种数据源包括 Falco 的告警并提供规则与仪表板内容以在统一 UI 中可视化与管理事件。MathWorks开发面向工程师与科学家的数学计算软件。MathWorks 使用 Falco 进行 Kubernetes 威胁检测与异常应用行为识别并将 Falco 规则映射到其云基础设施的安全杀伤链模型中。NETWAYS Web Services提供云与托管服务。Falco 帮助其托管服务时刻符合 ISO 27001 要求并通过实时异常检测确保客户工作负载行为符合预期。Pocteo帮助企业在生产环境落地 Kubernetes。Pocteo 使用 Falco 作为运行时监控系统保护客户工作负载免受可疑行为侵害、确保 Pod 不可变性并通过响应引擎与 serverless 函数对安全事件进行采集、处理与响应。Pollinate面向银行提供数字化商户服务的金融科技公司。Pollinate 在生产环境中使用 Falco 增强 Kubernetes 平台的运行时安全获得容器活动、对外网络连接、Kubernetes API 访问等可见性告警集成到 Elastic 与 Kibana 进行监控与调查。Preferral符合 HIPAA 的转诊管理平台。Preferral 借助 Falco 提供主机入侵检测系统HIDS以满足 HIPAA 合规要求。Qonto面向中小企业的现代银行。其 SecOps 团队使用 Falco 检测集群中的可疑行为。Raft面向 DoD、HHS、CFPB 等政府机构的云原生方案承包商。Raft 利用 Falco 检测客户 Kubernetes 集群中的威胁并将其用作主机入侵检测系统。Replicated为软件厂商提供容器化平台用于在客户环境中安全部署云原生应用。Replicated 使用 Falco 作为运行时安全手段检测承载其关键 SaaS 服务的 Kubernetes 集群中的威胁。Secureworks全球网络安全公司其 Taegis XDR 平台每天处理 PB 级安全数据。Secureworks 使用 Falco 保护平台自身的 Kubernetes 部署并帮助客户保护其 Linux 与容器环境。Shopify多通道电商平台。Shopify 使用 Falco 补充其主机与网络入侵检测系统。SafeDep开源软件供应链安全平台。SafeDep 提供开源依赖风险检测工具 vet其企业版 SafeDep Cloud 提供集中控制、数据聚合与恶意代码分析能力。Sight Machine制造业分析厂商。Sight Machine 使用 Falco 帮助执行 SOC2 合规并在 Kubernetes 中进行实时安全监控与告警。Skyscanner旅行搜索引擎。其基础设施大部分基于 Kubernetes安全团队使用 Falco 监控运行时异常并将发现集成到内部 ChatOps 工具同时对结果进行后处理与存储以生成用于审计的仪表板。Sumo LogicSaaS 日志聚合服务。Sumo Logic 为 Falco 等多个 CNCF 项目提供原生集成方便最终用户采集 Falco 事件并在 DevSecOps 仪表板上分析。Swissblock Technologies算法交易公司。Swissblock 将 Falco 事件路由到监控与日志控制系统针对每个工作负载核对安全策略关键事件通过告警集即时通知。ShapesecurityF5 旗下对抗账户接管、撞库等应用欺诈攻击。受 FedRamp 认证要求驱动需要可扩展的 FIM文件完整性监控方案保护 Kubernetes 集群传统 FIM 方案不适用于其环境Falco 的检测能力帮助其识别集群内的异常行为并通过 Sidekick 将告警发送到 PubSub再转发至其 SIEMSumoLogic。SysdigFalco 的原作者。Sysdig 于 2016 年创建 Falco在 sysdig 内核系统调用驱动数据之上构建规则引擎用于检测意外或可疑活动。Sysdig Secure 在 Falco 基础之上扩展了规则库、通过 UI/API 更新宏/列表/规则的能力、规则自动调优以及基于已知系统行为画像创建规则的能力其安全策略概念可将多个规则组合针对 Kubernetes 命名空间、OpenShift 集群、工作负载、云区域等用户定义范围进行评估。Thales Group全球技术集团。Thales 致力于开发云原生服务并为客户提供安全保障Falco 是其构建可信、安全产品与服务所依赖的框架之一。Thought Machine云原生银行核心系统提供商。Thought Machine 使用 Falco 对可疑容器行为进行云无关的实时检测。Tulip Retail使用 Falco 监控环境中的容器活动其丰富的集成点、易部署性与易定制规则是选择 Falco 的主要原因。Vinted使用 Falco 持续监控容器活动、识别安全威胁并确保合规容器原生方法、基于规则的实时威胁检测、社区支持、可扩展性与合规能力是其选择理由并通过 Falco Sidekick 将 critical 与 warning 级别告警发送到事件管理解决方案RTIR。Xenit AB云与数字化转型服务商。Xenit 提供开源 Kubernetes 框架在 Azure 与 AWS 集群中使用 Falco 的检测能力识别异常行为。Yahoo! JAPAN在其私有云 AI Platform多租户 Kubernetes 环境上使用 Falco 检测未授权命令与恶意访问实现监控与告警。采用场景的模式归纳从上述条目可以归纳出 Falco 生产采用的几类典型模式Kubernetes 运行时威胁检测绝大多数采用者GitLab、Shopify、Vinted、Thought Machine、Xenit 等将 Falco 作为集群内的实时异常检测器补充传统 HIDS/NIDS。合规落地工具PreferralHIPAA、Sight MachineSOC2、NETWAYSISO 27001、ShapesecurityFedRamp等借助 Falco 满足行业或监管合规要求。SIEM/可观测性集成Coveo、League、Logz.io、Sumo Logic、Pollinate、Skyscanner 等将 Falco 事件汇聚到 SIEM 或日志平台统一分析。上层安全产品的基础组件Fairwinds Insights、Sysdig Secure、GitLab Ultimate 等将 Falco 嵌入自有安全平台对外提供检测与响应能力。这些模式在仓库中均有直接对应的实现事件输出可通过 falco.yaml 中的http_output、file_output、program_output、syslog_output等通道发送给任意下游系统配合json_output可方便对接 SIEM 与 webhook。基于 Falco libs 构建的项目除了直接使用 Falco 二进制还有一类项目以 Falco 底层库libs为依赖构建自己的产品R6/Phoenix攻击面防护公司使用移动目标防御提供自动化、主动的 DevOps 友好安全。其部分策略由 Falco 检测结果组合触发可根据动态策略对 Pod 执行 kill、restart、rename 等动作。SysFlow云原生系统遥测框架聚焦数据抽象、行为分析与噪声削减。SysFlow 暴露紧凑的开放遥测格式以事件与流的形式记录进程控制流、文件交互与网络通信形成可支撑宿主与容器环境溯源推理的图结构。StackRoxKubernetes 原生安全平台面向供应链、基础设施与工作负载的安全运营利用云原生原则与声明式工件自动化 DevSecOps 实践。Wireshark著名网络协议分析器团队正在将 Wireshark 的能力与 Falco libs 结合打造 Logray——具备高级过滤、捕获与脚本能力的云与系统日志分析器。Falco libs 之所以能被上层项目复用与仓库结构密切相关当前仓库的构建体系见 cmake/modules/falcosecurity-libs.cmake将 falcosecurity/libs 作为核心依赖引入规则引擎、驱动接口、事件解析等能力都以库的形式暴露同时 README.md 中的 FAQ 说明了插件系统plugin-sdk-go 等被设计为支持多语言扩展使第三方既能在引擎之上构建产品也能通过插件扩展 Falco 的事件源能力。从采用者名单反推的集成技术要点对计划参考采用者架构、或准备在生产中接入 Falco 的团队以下几点可从仓库配置与文档中获得直接依据事件源选择Falco 支持kmod内核模块、modern_ebpfCO-RE eBPF等引擎通过 falco.yaml 的engine.kind配置gVisor 引擎作为备选事件源曾被采用者gVisor 等用于用户空间运行时场景但按 proposals/20251215-legacy-bpf-grpc-output-gvisor-engine-deprecation.md 的规划正逐步退出。规则加载通过rules_files指定规则文件如/etc/falco/falco_rules.yaml与本地自定义规则官方规则集维护在 submodules/falcosecurity-rules采用者如 MathWorks常在此基础上将规则映射到自身的安全模型。输出与告警编排http_output可将告警发往 webhook配合 falcosidekick 时需开启json_outputprogram_output支持将告警管道到任意命令文档中的示例包括通过jq格式化后 POST 到 Slack webhook、logger -t falco-test记日志、nc host.example.com 80发往网络连接这解释了 Vinted、Shapesecurity 等团队通过 Sidekick 或自定义管道对接事件管理系统的做法。快速体验仓库提供 docker/docker-compose 演示环境一条docker-compose up即可启动 Falco、falcosidekick、falcosidekick-ui 与 Redis并通过event-generator run syscall --loop生成触发规则的事件可在 UI 中观察告警全流程——该环境仅用于演示不代表生产部署形态。如何将你的组织加入采用者名单如果你的组织正在生产环境中使用 Falco并愿意公开分享这一事实以帮助社区成长ADOPTERS.md 明确给出了加入方式提交一个 Pull Request将你的名称加入该文件。通常建议在名单中注明组织名称、一段简短的生产使用描述如集群规模、检测场景、告警下游集成方式以便其他团队参考。参照既有条目的格式与信息密度提交即可这也是 CNCF 项目社区协作的常见惯例被 README 中的 Resources 章节以 Adopters List 链接固定引用。结语ADOPTERS.md 表面是一份名单实质是 Falco 从 Sysdig 内部工具成长为 CNCF 毕业项目、并被全球多行业生产环境验证的生态证据。结合当前仓库的 README.md、falco.yaml 配置与相关提案文档可以清晰看到每条采用者描述背后对应的技术路径规则驱动的系统调用检测、灵活的输出通道、可扩展的插件与 libs 生态。无论你是准备引入运行时安全工具还是希望在上层构建安全产品这份清单及其背后的实现细节都值得作为选型与架构设计的参考起点。赞分享云原生运行时防护IDS应用安全【免费下载链接】falcoCloud Native Runtime Security项目地址https://gitcode.com/gh_mirrors/fa/falco点击查看免费下载相关推荐youki 采用者与典型用例从 OCI 运行时到 Kubernetes 与 WebAssembly 生态youki 采用者与典型用例从 OCI 运行时到 Kubernetes 与 WebAssembly 生态 youki 是一个用 Rust 实现的 OCI ru容器运行时云原生OpenDrop云原生安全使用Falco监控容器运行时OpenDrop云原生安全使用Falco监控容器运行时 你是否曾担心AirDrop文件传输在容器环境中的安全性作为GitHub 加速计划 / op / op网络通信Harbor 生产环境采纳者生态解读从企业级案例看可信云原生镜像仓库的落地实践Harbor 生产环境采纳者生态解读从企业级案例看可信云原生镜像仓库的落地实践 Harbor 是一个开源的、可信的云原生镜像仓库项目用于存储、签名和扫描云原后端云原生镜像仓库上一篇从0到1开发bpmn-js插件自动布局功能实现与算法优化下一篇Napa.js单元测试策略多线程场景下的测试框架搭建创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考