Всем привет!
По ссылке доступна очень-большая-статья, посвященная Falco.
Начинается она достаточно "обыденно" – что это такое, зачем это нужно, какая у него архитектура, как его установить и т.д.
Дальше – интересней! Работа с правилами – от описания того, где и какие располагаются до до описания их структуры и написания собственных и обработки исключений.
Автор уделяет время принципам, по которым работает Falco (мониторинг
Syscalls с использованием eBPF) и настройке оповещений в случае срабатывания правил (с использованием проекта Falco Sidekick)И это далеко не все! Да, документацию на Falco статья не заменит, но может быть очень полезной при первом знакомстве с решением.
Если эта тематика вам интересна, то вот тут, тут и тут можно найти еще материалов по Falco.
