Falco 速查
共 22 条 Falco 常用写法，涵盖定位、运行与排查、规则语法、Kubernetes 集成、实践。 支持搜索与分类筛选，点击即可复制。
定位
CNCF 运行时安全检测。
| 命令 | 说明 |
|---|---|
| 原理 | |
| 规则引擎 | |
| 能力 | |
| 告警输出 |
运行与排查
常用命令。
| 命令 | 说明 |
|---|---|
| 启动 | |
| 加载自定义规则 | |
| 查看服务日志 | |
| 字段查询 |
规则语法
YAML 规则。
| 命令 | 说明 |
|---|---|
| 一条规则 | |
| condition 条件表达式 | |
| output 告警内容 | |
| 优先级 | |
| 标签（便于过滤） | |
| 规则覆盖 |
Kubernetes 集成
集群部署。
| 命令 | 说明 |
|---|---|
| 安装到集群 | |
| 部署形态 | |
| 转发 | |
| 链路 |
实践
落地建议。
| 命令 | 说明 |
|---|---|
| 灰度 | |
| 分级 | |
| 上下文 | |
| 维护 |
使用说明
Falco 运行时安全速查：定位、运行与排查、规则语法、Kubernetes 集成、实践；支持搜索与分类筛选，点击即可复制。
- 按用途点分类：定位、运行与排查、规则语法、Kubernetes 集成、实践。
- 点「写法」列复制，替换条件与输出字段后使用。
- 基于系统调用（eBPF/内核模块）实时检测异常行为。
- 集群里以 DaemonSet 部署，配合 falcosidekick 转发告警。
常见问题
- Falco 和 Trivy 有什么区别？
- Trivy 是扫描（静态）：查镜像/配置里的已知漏洞与错误配置；Falco 是运行时检测（动态）：监控系统调用，发现运行中的可疑行为。两者互补。
- eBPF 和内核模块怎么选？
- 优先现代 eBPF（无需编译内核模块，对内核版本有要求）；内核较旧或不支持时回退到内核模块驱动，按集群内核版本选择。
- 规则怎么写才不误报？
- condition 尽量限定到具体进程/容器/命名空间，output 带上足够上下文；先以告警模式观察误报率，再对确有价值的规则联动响应。
延伸阅读
相关工具
HAPI
hapi 速查
Hapi.server / server.route / Joi 速查
RSTFY
restify 速查
createServer / server.get / bodyParser 速查
SAILS
Sails.js 速查
sails lift / Waterline / blueprints 速查
MTEO
Meteor 速查
Meteor.publish / Collection / methods 速查
TRPC
tRPC 速查
initTRPC / t.procedure / createTRPCProxyClient 速查
APLO
Apollo GraphQL 速查
ApolloServer / typeDefs / useQuery 速查