System Administration Question #019e3a4f

A resposta correta é Falco, uma ferramenta de segurança de runtime de código aberto projetada para detectar atividades anômalas em ambientes cloud-native, incluindo containers, Kubernetes e hosts. O Falco usa um conjunto de regras para monitorar chamadas de sistema e eventos do kernel, alertando sobre comportamentos suspeitos como escalonamento de privilégios, acesso a arquivos ou conexões de rede.

Como Funciona

O Falco opera conectando-se à interface de chamadas de sistema do kernel Linux (via eBPF ou um módulo do kernel) para capturar eventos. Em seguida, ele avalia esses eventos contra um mecanismo de regras configurável. Quando uma regra é correspondida, o Falco gera um alerta que pode ser enviado para várias saídas (por exemplo, stdout, syslog ou integrações externas como Slack ou PagerDuty). Isso permite que as equipes de segurança detectem ameaças em tempo real.

Por que o Falco está Correto

O Falco é explicitamente projetado para segurança de runtime. É um projeto incubado pela Cloud Native Computing Foundation (CNCF) e amplamente utilizado para detecção de intrusões e monitoramento de conformidade em ambientes conteinerizados. Sua função principal é monitoramento de segurança, não runtime de container ou virtualização.

Por que as Outras Opções estão Incorretas

• lxd: Este é um hipervisor de containers e gerenciador de containers de sistema, não uma ferramenta de segurança. Ele fornece um ambiente seguro para executar containers, mas não realiza monitoramento de segurança de runtime.
• containerd: Este é um runtime de container padrão da indústria que gerencia o ciclo de vida dos containers (criação, inicialização, parada de containers). É um componente central do Docker e Kubernetes, mas não possui capacidades de detecção de segurança embutidas.
• gvisor: Este é um runtime de container em sandbox que fornece uma camada adicional de isolamento ao interceptar chamadas de sistema dos containers. Embora melhore a segurança através de sandboxing, não é uma ferramenta de segurança de runtime para monitoramento e alerta; é um runtime em si.