运行时行为检测
运行时检测补上静态扫描看不到的行为面。Falco 通过 eBPF 探针或内核模块观测系统调用，按规则对容器内的异常行为告警，例如容器里起了交互 shell、写入敏感路径、出现提权迹象。它与镜像扫描互补：一个看制品内容，一个看运行行为。
基本信息
| 定位 | 基于系统调用的运行时行为检测 |
|---|---|
| 机制 | eBPF 探针或内核模块加规则引擎 |
| 规则 | 默认规则集按发行方式放置在配置目录 |
| 输出 | 结构化告警事件，可接通知渠道 |
| 部署 | 通常以容器方式运行，需要访问宿主内核数据 |
典型使用场景
- 生产环境检测容器内异常行为，补充静态扫描的盲区
- 合规要求记录运行时安全事件时提供数据来源
- 事故取证：回溯某个时间窗内的可疑系统调用行为
- 验证自家镜像在运行期是否有意外行为，例如自发启动 shell
- 把告警接入值班流程，形成检测到响应的闭环
容器方式运行
容器方式运行
docker run --rm -it --privileged \
-v /var/run/docker.sock:/host/var/run/docker.sock \
-v /proc:/host/proc:ro \
--name falco falcosecurity/falco:latest
# 部署形态与所需挂载随版本迭代，正式上线前按当前版本官方文档核对运行参数与静态扫描的分工
| 维度 | 静态镜像扫描 | 运行时行为检测 |
|---|---|---|
| 观测对象 | 镜像里的文件与依赖 | 进程的系统调用行为 |
| 发现问题 | 已知漏洞与不合规内容 | 异常动作与提权迹象 |
| 时效 | 构建与拉取阶段 | 运行全过程 |
| 结论形式 | 清单与评级 | 告警事件流 |
部署形态与所需挂载随版本迭代很快，正式上线前按当前版本的官方文档核对运行参数，不要照抄旧资料里的命令。
告警要接入通知与值班流程，只落本地日志很难形成响应闭环。
规则需要按业务调优：初始阶段先观察基线，避免高频噪声淹没有效告警。
运行时检测对宿主内核能力有要求，内核版本过低或受限环境可能无法部署，选型前先确认。
规则调整要有变更记录并回测：放松某条规则会削弱后续检测能力，收紧过头则产生大量误报。