应用行为活动监测器 Sysdig Falco

http://www.oschina.net/p/sysdig-falco
Sysdig Falco是一个开源的应用行为活动监测器，可以用来检测你的应用程序中的异常活动。并且Falcos可以连续监测应用、主机、网络传输中的任意一个节点的数据流，Falcos也支持一组可定制的规则。

Sysdig Falco可以检测任何行为，包括使Linux系统调用。由于sysdig核心解码和状态跟踪功能，Sysdig Falco可以通过具体的系统调用，使其触发报警。主要可监测范围包括：

运行在容器内的Shell脚本
能监测到意外产生的大量的可能对服务器造成威胁的进程
对一些敏感文件的读写监测，比如/etc/passwd
挂载外设的监测
二进制文件的扫描监测