Falco è uno strumento open source per il rilevamento delle minacce che sorveglia in tempo reale ciò che accade all’interno di macchine Linux, container e cluster Kubernetes. L’azienda statunitense Sysdig lo ha creato e reso pubblico nel 2016, per poi affidarlo nel 2018 alla Cloud Native Computing Foundation, la stessa fondazione che ospita Kubernetes. Qui il progetto ha superato tutte le fasi fino allo status di progetto graduated, ottenuto il 29 febbraio 2024. È distribuito con licenza Apache 2.0.
L’ultima versione, la 0.45.0, è uscita il 21 settembre 2026. Secondo l’annuncio della CNCF, tra gli utilizzatori dichiarati figurano organizzazioni come GitLab, Shopify, Cisco e Booz Allen Hamilton.
A cosa serve Falco
Falco parte da un’osservazione semplice: tutto ciò che un programma fa di rilevante passa dal kernel. Aprire un file, avviare un processo, stabilire una connessione di rete o cambiare privilegi si traduce in chiamate di sistema. Falco intercetta questo flusso tramite un driver, per impostazione predefinita una sonda eBPF moderna integrata nel programma, oppure un modulo del kernel. Confronta ogni evento con regole scritte in YAML e genera un allarme appena una condizione è soddisfatta.
Le regole fornite dal progetto individuano comportamenti tipici di un’intrusione, come una shell aperta dentro un container, una scrittura nella directory dei file di configurazione del sistema, la modifica dei file delle password o un container che ottiene privilegi elevati. Ogni evento viene arricchito con il nome del container, dell’immagine, del pod e del namespace Kubernetes, così si capisce subito quale applicazione è coinvolta. I plugin aggiungono altre sorgenti, tra cui i log di audit di Kubernetes e i log dei servizi cloud.
Gli allarmi possono finire sullo standard output, in un file, in syslog, in un programma o verso un indirizzo HTTP. Il progetto collegato Falcosidekick li inoltra a numerosi strumenti di messaggistica, piattaforme di monitoraggio e sistemi di analisi, mentre l’utility falcoctl, inclusa in Falco, installa e aggiorna regole e plugin.
Falco si distingue da Suricata e Zeek, che ascoltano la rete. Osserva invece l’interno del sistema, dove il traffico cifrato non nasconde più nulla. Wazuh, anch’esso presente nel nostro catalogo, copre in modo più ampio postazioni e server, Windows compreso, con una console centrale. Cilium condivide con Falco l’uso di eBPF, ma il suo mestiere principale resta la rete e la sicurezza dei flussi tra container.
Per chi è?
Falco si rivolge ai team che gestiscono container in produzione: platform engineer, responsabili della sicurezza dei cluster Kubernetes, analisti che vogliono visibilità sull’attività dei server Linux, auditor che devono dimostrare che un comportamento anomalo verrebbe individuato. L’installazione tramite chart Helm o operatore Kubernetes ne semplifica la distribuzione su ogni nodo di un cluster.
I limiti vanno conosciuti. Falco rileva e segnala, ma da solo non blocca nulla, quindi fermare un processo o isolare un container richiede altri strumenti collegati ai suoi allarmi. Funziona soltanto su Linux, su architetture x86_64 e aarch64, e il driver eBPF moderno presuppone un kernel abbastanza recente, in pratica dalla versione 5.8 in poi. Le regole predefinite vanno quasi sempre calibrate per contenere i falsi positivi, il che richiede una buona conoscenza delle applicazioni sorvegliate. Non sostituisce nemmeno un antivirus o uno scanner di vulnerabilità delle immagini.
Scaricare Falco in sicurezza
I download ufficiali sono elencati su falco.org, nella pagina Download della documentazione. I pacchetti DEB e RPM firmati con chiave GPG e gli archivi tar.gz sono ospitati su download.falco.org per x86_64 e aarch64. Le immagini container sono pubblicate come falcosecurity/falco su Docker Hub, mentre i chart Helm si trovano nel repository falcosecurity/charts su GitHub.
Falco non ha un’edizione a pagamento e il progetto non vende nulla. Dato che l’agente gira con privilegi molto elevati su ogni macchina e carica codice nel kernel, un’immagine o un pacchetto di provenienza ignota rappresenta un rischio serio per l’intero cluster. Conviene limitarsi ai repository ufficiali e verificare la firma dei pacchetti, tanto più che a dicembre 2025 il progetto ha annunciato il rinnovo della chiave di firma.
Domande frequenti
Falco è gratuito?
Sì. Falco è software libero con licenza Apache 2.0, mantenuto sotto l’egida della CNCF. Non esiste una versione a pagamento di Falco.
Falco può bloccare un attacco?
Non direttamente. Falco è uno strumento di rilevamento che genera allarmi. Per reagire in automatico bisogna collegare questi allarmi a un altro sistema in grado di fermare un processo o isolare un carico di lavoro.
Serve Kubernetes per usare Falco?
No. Falco funziona anche su un normale server Linux installato dai pacchetti DEB o RPM. Kubernetes aggiunge soprattutto il contesto di pod e namespace negli allarmi.
