History

起源

Falco は Sysdig で作られ、2016 年にオープンソース化された。GitHub リポジトリの created_at は 2016-01-19 (出典 2, 4)。技術的なルーツはさらに古く、最初のドライバコードは 2014 年で、いまは eBPF 上で動くカーネルデータ収集の系譜の上にある (出典 4)。

創業者の Loris Degioanni はプロジェクトを特定の考えのもとに位置づけた。ランタイムセキュリティには eBPF によるデータ収集以上のものが要る。enrichment、オーケストレータ統合、複数データソースの相関、整備されたポリシーライブラリが必要だ、というものである (出典 4)。この方針が、Falco が単なる raw イベント収集にとどまらずルールエンジンとプラグインシステムを持つようになった理由を説明する。

年表

年	マイルストーン
2014	最初のドライバコード。カーネルデータ収集にルーツ (出典 4)
2016	Sysdig で作成しオープンソース化。リポジトリ作成は 2016-01-19 (出典 2, 4)
2018	CNCF に Sandbox プロジェクトとして寄贈。ランタイムセキュリティで初の受理 (出典 1, 4)
2020	4 月に CNCF Incubation へ移行 (出典 1, 4)
2022	プラグインフレームワークが launch し、syscall 以外のソースを追加 (出典 7)
2024	2024-02-29 に CNCF を卒業 (出典 1, 5)

どう進化したか

2018 年の CNCF への寄贈で、Falco は同財団で初のランタイムセキュリティプロジェクトとなった (出典 1, 4)。2020 年に Incubation へ移行。Incubation 移行後、プロジェクトはアクティブコントリビュータの 400% 増、ダウンロード総数の 526% 増を報告している (出典 1, 4)。

2022 年のプラグインフレームワークはスコープの変更だった。これにより Falco は syscall 以外のイベントソース (Kubernetes audit ログやクラウドトレイルなど) を共有ライブラリ経由で読めるようになった (出典 7)。ホストの syscall モニターが、より汎用の検知エンジンへと変わった。

2024-02-29 の卒業はエンジニアリング以上の作業を要した。TOC の due diligence、第三者によるセキュリティ監査、そして CNCF プロジェクトが GPL の Linux カーネルモジュールを eBPF コードと同梱できるようにするライセンス調整が、卒業の投票に先立って行われた (出典 1, 5)。

現在地

執筆時点の最新安定版リリースは 0.44.1 で、2026-06-11 に公開された (出典 3)。卒業告知では 1 億回超のダウンロードと 30 以上の self-declared adopter が挙げられた (出典 1, 4)。この deep-dive が対象とする pin コミット 5123e90 は、0.44.1 より先行する master 上の開発ビルドである。