### ① 组件是什么 Falco 是运行时入侵检测，监听系统调用与内核事件，按规则识别异常行为（容器内起 shell、读敏感文件、异常网络连接）并告警。 ### ② 语言与 C 库 Go 编写，goroutine。经内核事件源（驱动/模块/eBPF）取事件，socket 外发告警，不 fork。 ### ③ 运行机制 订阅内核事件流，规则引擎匹配异常模式，命中即产生告警，属于检测而非阻断。 ### ④ 常见配置缺陷 - 规则未启用或只采默认规则，覆盖不全。 - 告警无人响应，检测空转。 - Falco 自身权限不足采不到关键事件。 ### ⑤ 对应攻击链路 Falco 是可见性补位：在逃逸与异常动作发生时告警，缩短发现时间，本身不阻断，配合审计形成检测闭环。 ### ⑥ 对应 C 库 eBPF/内核事件、socket 外发。 ### ⑦ 对应工具 规则覆盖审计、告警链路核查、事件采集完整性核对。 【链路推演】无检测/无响应 → 异常行为静默发生。断点在规则覆盖与告警闭环。 【跨册】检测在防守体系中的位置见册6。eBPF 机制见册1。