Falco 运行时行为检测

运行时检测补上静态扫描看不到的行为面：Falco 通过 eBPF 或内核模块观测系统调用，按规则对容器内异常行为（起交互 shell、写敏感路径、提权迹象）告警。

定位	系统调用级运行时检测
机制	eBPF 探针 / 内核模块 + 规则引擎
规则	默认规则集在容器内 /etc/falco/falco_rules.yaml

示例

docker run --rm -it --privileged -v /var/run/docker.sock:/host/var/run/docker.sock -v /proc:/host/proc:ro --name falco falcosecurity/falco:latest

部署形态与所需挂载随版本迭代，正式上线前按当前版本官方文档核对运行参数。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌