Falco est un outil libre de détection des menaces qui surveille en temps réel ce qui se passe à l’intérieur des machines Linux, des conteneurs et des clusters Kubernetes. La société américaine Sysdig l’a créé et ouvert en 2016, avant de le confier en 2018 à la Cloud Native Computing Foundation, la fondation qui héberge aussi Kubernetes. Elle lui a accordé le statut de projet diplômé le 29 février 2024. Il est publié sous licence Apache 2.0.
La dernière version, la 0.45.0, est sortie le 21 septembre 2026. Selon l’annonce de la CNCF, des organisations comme GitLab, Shopify, Cisco ou Booz Allen Hamilton figurent parmi ses utilisateurs déclarés.
À quoi sert Falco
Le principe de Falco tient en une idée simple : tout ce qu’un programme fait d’important passe par le noyau. Ouvrir un fichier, lancer un processus, établir une connexion réseau, changer de privilèges, tout cela se traduit par des appels système. Falco capte ce flux grâce à un pilote, par défaut une sonde eBPF moderne intégrée au programme, ou à défaut un module noyau. Il compare chaque événement à des règles écrites en YAML et produit une alerte dès qu’une condition est remplie.
Les règles fournies par le projet repèrent des comportements typiques d’une intrusion : un shell ouvert dans un conteneur, une écriture dans le répertoire des fichiers de configuration du système, une modification des fichiers de mots de passe, un conteneur qui obtient des privilèges élevés. Chaque événement est enrichi avec le nom du conteneur, de l’image, du pod et de l’espace de noms Kubernetes, ce qui désigne aussitôt l’application en cause. Des plugins ajoutent d’autres sources, comme les journaux d’audit de Kubernetes ou des journaux de services cloud.
Les alertes partent vers la sortie standard, un fichier, syslog, un programme ou une adresse HTTP. Le projet compagnon Falcosidekick les relaie vers de nombreuses messageries, plateformes de supervision et outils d’analyse, tandis que l’utilitaire falcoctl, livré avec Falco, installe et met à jour règles et plugins.
Falco se distingue de Suricata et de Zeek, qui écoutent le réseau : lui regarde l’intérieur du système, là où le trafic chiffré ne cache plus rien. Wazuh, autre outil présent dans notre logithèque, couvre plus largement les postes de travail et les serveurs, Windows compris, avec une console centrale. Cilium partage avec Falco le recours à eBPF, mais son métier principal reste la mise en réseau et la sécurité des flux entre conteneurs.
Pour qui ?
Falco s’adresse aux équipes qui exploitent des conteneurs en production : ingénieurs de plateforme, responsables de la sécurité des clusters Kubernetes, analystes qui veulent une visibilité sur l’activité des serveurs Linux, auditeurs qui doivent démontrer qu’un comportement anormal serait repéré. Son installation par chart Helm ou par opérateur Kubernetes le rend facile à déployer sur chaque nœud d’un cluster.
Ses limites méritent d’être connues. Falco détecte et alerte, il ne bloque rien par lui-même : arrêter un processus ou isoler un conteneur demande d’autres outils branchés sur ses alertes. Il fonctionne uniquement sous Linux, sur les architectures x86_64 et aarch64, et le pilote eBPF moderne suppose un noyau récent, en pratique à partir de la version 5.8. Les règles par défaut doivent presque toujours être ajustées pour éviter les fausses alertes, ce qui suppose de bien connaître les applications surveillées. Il ne remplace pas non plus un antivirus ni un scanner de vulnérabilités d’images.
Télécharger Falco sans risque
Les téléchargements officiels sont décrits sur falco.org, dans la page Download de la documentation. Les paquets DEB et RPM, signés par une clé GPG, et des archives tar.gz sont hébergés sur download.falco.org pour x86_64 et aarch64. Des images conteneur sont publiées sous le nom falcosecurity/falco sur Docker Hub, et les charts Helm se trouvent dans le dépôt falcosecurity/charts sur GitHub.
Falco n’a pas d’édition payante, et le projet ne vend rien. Comme l’agent tourne avec des droits très élevés sur chaque machine et charge du code dans le noyau, une image ou un paquet de provenance inconnue représente un risque sérieux pour tout le cluster. Il faut s’en tenir aux dépôts officiels et vérifier la signature des paquets, d’autant que le projet a annoncé en décembre 2025 le renouvellement de sa clé de signature.
Questions fréquentes
Falco est-il gratuit ?
Oui. Falco est un logiciel libre sous licence Apache 2.0, maintenu sous l’égide de la CNCF. Il n’existe pas de version payante de Falco lui-même.
Falco peut-il bloquer une attaque ?
Non, pas directement. Falco est un outil de détection qui émet des alertes. Pour réagir automatiquement, il faut relier ces alertes à un autre système capable d’arrêter un processus ou d’isoler une charge de travail.
Faut-il Kubernetes pour utiliser Falco ?
Non. Falco fonctionne aussi sur un simple serveur Linux installé à partir des paquets DEB ou RPM. Kubernetes ajoute surtout le contexte des pods et des espaces de noms dans les alertes.
