Sysdig Falco 应用行为活动监测器开源项目

SysdigFalco是一个开源的应用行为活动监测器，可以用来检测你的应用程序中的异常活动。并且Falcos可以连续监测应用、主机、网络传输中的任意一个节点的数据流，Falcos也支持一组可定制的规则。

SysdigFalco可以检测任何行为，包括使Linux系统调用。由于sysdig核心解码和状态跟踪功能，SysdigFalco可以通过具体的系统调用，使其触发报警。主要可监测范围包括：

运行在容器内的Shell脚本

能监测到意外产生的大量的可能对服务器造成威胁的进程

对一些敏感文件的读写监测，比如/etc/passwd

挂载外设的监测

二进制文件的扫描监测