如果你希望将运行时安全集成到现有环境中，Falco[1]是一个明显的选择。Falco 是一个由 CNCF 托管的开源项目，为云端、容器和 Kubernetes 工作负载提供实时威胁检测。Falco 已经被全球一些最大的公司采用，下载量超过 8000 万次。

然而，许多 Falco 用户很早就发现，Falco 的默认事件输出相当有限。出厂时，Falco 只能将输出发送到五个不同的端点：syslog、stdout、stderr 以及 gRPC 或 HTTPS 端点。

虽然这些输出可能足以让你开始使用，但大多数从业人员希望将 Falco 与他们已经使用的工具集成。这就是Falcosidekick[2]的用武之地。

Falcosidekick 是 Falco 的伴侣(即副手;))项目，允许将 Falco 事件转发到 60 个不同的服务(不断增加中)，使从业人员能够使用他们已经使用的工具监控和响应 Falco 事件。

例如，如果你希望立即收到可疑活动的通知，你可以将 Falco 事件转发到诸如 Slack 或 Telegram 等聊天程序，警报平台如 PagerDuty 或 AlertManager，或者当然是电子邮件。为了减少噪音，你可以明确设置通知的级别，例如，警告级别的事件可能通过电子邮件传送，而关键或更高级别的事件则通过聊天发送或直接发送到警报平台。

如果你想以编程方式处理某些事件，Falcosidekick 与许多不同的服务集成，包括 AWS Lambda、GCP Cloud Run 和 Cloud Functions、或者 Knative 等函数作为服务平台。警报也可以发送到消息队列，如 Amazon SNS、Apache Kafka 或 RabbitMQ。这些集成提供了几乎无限的可能性，用于构建事件响应系统。

例如，假设你在 Kubernetes 集群上运行 Falco，并且 Falco 发现有人运行了不属于容器基础镜像的程序。在这种情况下，你可以选择让 Falcosidekick 将该事件发送到 AWS Lambda。Lambda 将接收警报并执行一个函数，给包含可疑容器的 Pod 应用一个标签，导致该 Pod 被停用并生成一个新的 Pod 来替代它。

Falcosidekick 还可以将事件发送到传统的监控和日志平台，如 Elasticsearch、Prometheus、Grafana 或 Datadog(以及其他许多平台)。这些平台可以用于集中处理和处理警报，以便你可以发现趋势或异常。

除了查看实际的 Falco 事件之外，Falcosidekick 还提供了自身性能的指标。还有一些服务端点可用于检查 Falcosidekick 是否正在运行以及其整体健康状况。

Falcosidkick 具有自己的基于 Web 的用户界面，可以快速查看你的 Falco 环境。此界面提供了有关 Falcosidekick 性能指标的报告，以及与连接的 Falco 实例报告的事件的动态。

如果你想归档 Falco 事件，Falcosidekick 可以将它们发送到 Redis 或各种对象存储服务，如 AWS S3 或 Google Cloud Storage。

Falcosidekick 作为守护程序运行，可以通过多种机制轻松安装，包括作为 Docker 容器安装，或通过 Helm 安装。使用 Helm，你可以在安装 Falco 时安装 Falcosidekick，或者稍后将其添加到你的环境中。从架构角度来看，Sidekick 部署在两个 Pod 中以确保高可用性，一个 Sidekick 实例可以接收来自多个 Falco 环境的事件。

有这么多不同的选项，Falcosidekick 为将 Falco 的运行时安全能力整合到你现有的工具中开启了无数的可能性。如果你想亲自尝试 Falcosidekick，请查看Thomas 的博客文章[3]，了解如何将 Falcosidekick 与 Slack 集成。如果你想参与 Falco 或 Falcosidekick 的开发，请加入我们在Kubernetes Slack[4]的#Falco 频道进行交流，或查看Github 仓库[5]。