ルールファイルの場所。 これには、個別のルールファイルへの1つ以上のパスを含めることができます。 次の例は同等です：

rules_file:
- path1
- path2

rules_file: [path1, path2]

コマンドラインで1つ以上の -rオプションを使用して複数のルールファイルを指定することもできます。

• actions: これらのboolean sub-keyの1つ以上を含むリスト:
  • ignore: 何もしない。空のリストが提供された場合、無視が想定されます.
  • log: バッファーがいっぱいであることを示すCRITICALなメッセージをログに記録する.
  • alert: バッファがいっぱいであることを通知するFalcoアラートを発します.
  • exit: non-zero rcでFalcoを終了します.
• rate: アクションを実行できる定常状態のレート。 actions/secondの単位。 デフォルト0.03333(30秒ごとに1つのアクション)。
• max_burst: 定常状態のレートが適用される前に実行できるアクションの最大数。

• rate: <notifications/second>
• outputs: max_burst: <number of messages>

トークンバケットとして実装されたスロットリングメカニズムは、Falco通知のレートを制限します。このスロットルは、rateおよびmax_burstオプションによって制御されます。

rateは1秒あたりに取得されるトークン(つまり、通知を送信する権利)の数で、デフォルトは1です。max_burstは未処理のトークンの最大数で、デフォルトは1000です。

これらのデフォルトでは、Falcoは最初の静止期間の後に最大1000件の通知を送信し、その後、1秒あたり最大1件の通知を送信できます。何もしない状態が1000秒続くと、完全なバーストが発生します。

• enabled: [true|false]

• enabled: [true|false]
• keep_alive: [true|false]
• filename: <path>

enabledがtrueに設定されている場合、Falcoアラートは filenameで指定されたファイルパスに送信されます。

keep_aliveがfalse（デフォルト）に設定されている場合、Falcoはアラートごとにファイルを再度開きます。trueの場合、Falcoはファイルを1度開き、すべてのアラートで開いたままにします。Falco CLIを使用して --unbufferedを指定する必要がある場合もあります。

• enabled: [true|false]

• enabled: [true|false]
• keep_alive: [true|false]

enabledがtrueに設定されている場合、Falcoアラートがプログラムに送信されます。

keep_aliveがfalse（デフォルト）に設定されている場合、アラートごとにプログラムを実行します。trueの場合、Falcoはプログラムを1回起動し、すべてのアラートに対して開いたままにします。Falco CLIを使用して--unbufferedを指定する必要がある場合もあります。

program設定は各アラートに対して実行されるプログラムを指定します。これはシェルを介して開始されるため、追加のフォーマットを可能にするコマンドパイプラインを指定できます。

• enabled: [true|false]
• url: [http[s]://path/to/webhook/]

• enabled: [true|false]
• listen_port
• k8s_audit_endpoint
• ssl_enabled: [true|false]
• ssl_certificate: <path>

enabledがtrueに設定されている場合、Falcoは埋め込みWebサーバーを起動してKubernetes監査イベントを受け入れます。

listen_portは、Webサーバーが待機するポートを指定します。デフォルトは8765です。

k8s_audit_endpointは、Kubernetes監査イベントをリッスンするURIを指定します。デフォルトは/k8s-auditです。

ssl_enabledは、ssl_certificateで指定された証明書を使用して、ウェブサーバーのSSLサポートを有効にします。指定されたssl_certificateファイルには、サーバーの証明書とcivitwebによって文書化されたのキーが含まれている必要があります。

• enabled: [true|false]
• bind_address: [address:port]
• threadiness:
• private_key: <path>
• cert_chain: <path>
• root_certs: <path>

enabledがtrueに設定されている場合、FalcoはgRPCサーバーを埋め込み、gRPC APIを公開します。デフォルトはfalseです。

gRPCサーバーは、TLS証明書を使用するクライアントとサーバー間の相互認証でのみ使用できます。証明書の生成方法はここに記載されています。

サーバーとクライアントの唯一の共通点はルート証明書であることを常に覚えておいてください。すべてのクライアントは、サーバーと同じルートCAによって署名された独自の証明書を生成する必要があります。

bind_addressは、gRPCサーバーがリッスンするアドレスとポートを指定します。デフォルトは0.0.0.0:5060です

threadinessは、gRPCリクエストを処理するために使用するスレッドの数を定義します。また、スレッド単位あたりの係数が10倍のコンテキストの数にも影響します。デフォルトは8です。

サーバー認証用の秘密鍵のprivate_keyパス。デフォルトは/etc/falco/certs/server.keyです。

サーバー認証用の公開証明書のcert_chainパス。デフォルトは/etc/falco/certs/server.crtです。

サーバーとすべてのクライアント間で共通のCA証明書（またはチェーン）の root_certsパス。デフォルトは/etc/falco/certs/ca.crtです。

• enabled: [true|false]