本书是一本关于云原生安全的实用指南，主要介绍了如何使用Falco（一款开源的安全监控工具）来检测容器、Kubernetes和云环境中的风险和威胁。本书分为四部分，每一部分都建立在前一部分的基础上。第一部分介绍Falco及其功能，将带你理解Falco的基本概念，并指导你完成第一次本地部署。第二部分介绍Falco的架构和内部工作方式。第三部分是Falco用户的参考手册，将指导你在各种环境中部署、配置、运行和调优Falco。第四部分是给开发者的参考资料，涵盖扩展Falco的方法。本书旨在帮助读者了解云原生安全的重要性，学会使用Falco工具进行风险和威胁检测，从而提高云原生应用的安全性能。

前言
第一部分 认识Falco
第1章 Falco简介
1.1 Falco概览
1.2 Falco的设计原则
1.3 你可以用Falco做什么
1.4 你不能用Falco做什么
1.5 Falco的历史背景
第2章 从本地环境开始
2.1 在本地环境上运行Falco
2.2 生成事件
2.3 理解Falco的输出
2.4 自定义Falco实例
2.5 小结
第二部分 Falco的架构
第3章 深入理解Falco架构
3.1 Falco和Falco库：数据流视图
3.2 驱动程序
3.3 插件
3.4 libscap
3.5 libsinsp
3.6 规则引擎
3.7 小结
第4章 数据源
4.1 系统调用
4.2 捕获系统调用
4.3 Falco驱动程序
4.4 运行Falco驱动程序
4.5 Falco插件
4.6 小结
第5章 数据扩充
5.1 理解系统调用的数据扩充
5.2 用插件进行数据扩充
5.3 小结
第6章 字段和过滤器
6.1 什么是过滤器
6.2 过滤语法参考
6.3 字段
6.4 使用字段和过滤器
6.5 Falco的最有价值字段
6.6 小结
第7章 Falco规则
7.1 Falco规则文件
7.2 解析Falco规则文件
7.3 替换、追加和禁用规则
7.4 小结
第8章 输出框架
8.1 Falco的输出架构
8.2 输出格式化
8.3 输出通道
8.4 小结
第三部分 运行Falco
第9章 安装Falco
9.1 选择安装方式
9.2 直接在主机上安装
9.3 在容器中运行Falco
9.4 将Falco部署到Kubernetes集群
9.5 小结
第10章 配置和运行Falco
10.1 配置Falco
10.2 不同安装方式下Falco的差异
10.3 命令行选项和环境变量
10.4 配置文件
10.5 规则集
10.6 使用插件
10.7 更改配置
10.8 小结
第11章 使用Falco实现云安全
11.1 为什么要为AWS安全选择Falco
11.2 Falco的架构和AWS安全
11.3 配置和运行CloudTrail插件
11.4 扩展Falco的AWS规则集
11.5 其他云环境
11.6 小结
第12章 Falco事件
12.1 Falco输出
12.2 可观测性和分析
12.3 获取通知
12.4 威胁响应引擎
12.5 小结
第四部分 扩展Falco
第13章 编写Falco规则
13.1 自定义Falco的默认规则
13.2 编写新规则
13.3 编写规则的注意事项
13.4 小结
第14章 Falco开发
14.1 使用代码库
14.2 使用gRPC API扩展Falco
14.3 使用插件扩展Falco
14.4 小结
第15章 如何做贡献
15.1 为Falco做贡献的意义
15.2 应该从哪里开始
15.3 为Falcosecurity项目做贡献
15.4 小结