실행 중 행동의 관측
프로그램이 동작하는 동안 발생한 이벤트를 관찰해 비정상적인 행동과 잠재적 위협을 찾는다. Linux 커널 이벤트를 비롯한 자료를 입력으로 사용하며 플러그인을 통해 다른 이벤트 공급원도 연결할 수 있다.
규칙과 맥락을 결합한 경보
사용자가 정의한 규칙을 이벤트에 적용해 경보를 생성한다. 컨테이너 런타임과 Kubernetes에서 얻은 메타데이터를 결합하면 어떤 워크로드에서 행동이 발생했는지 파악하는 데 도움이 된다. 규칙은 관측한 사건을 해석하는 기준으로 작동한다.
탐지 이후의 분석과 대응
생성한 경보 이벤트는 다른 구성 요소로 전달할 수 있다. 보안 정보 분석 시스템이나 데이터 레이크에서 조사 자료로 활용하고 별도의 대응 구성 요소와 연결하는 방식이다. Falco 자체의 중심 역할은 사건의 관측과 탐지 및 경보 생성이다.