# Falco 0.45.1 : trois correctifs pour la continuité de supervision - Link: https://dpioch.aristeecampus.org/veille/soc-bf2fb154015eb417636b/ - Published: 2026-10-21T16:56:14+02:00 - Author: Admin Falco 0.45.1 est à considérer comme une version de robustesse, non comme une nouvelle capacité de détection. Les correctifs annoncés concernent la configuration des paquets, la reprise des écritures d’alertes et un arrêt possible pendant la collecte de métriques( F2 à F4). Leur intérêt opérationnel dépend des configurations réellement utilisées. Les nouveautés reposent sur les notes du projet, sans confirmation indépendante ; aucun test local. ## Contexte SOC Pour un centre opérationnel de sécurité, la question est ici la continuité de l’observation et de la sortie des alertes, plutôt que l’élargissement des menaces détectables. Le README décrit le rôle général de Falco (F1) ; il ne démontre pas l’efficacité des correctifs. Cette note distingue les annonces du projet des conséquences envisagées. ## Faits documentés ### Fait F1 Le README présente Falco comme un agent de surveillance du noyau et de détection, observant des événements selon des règles personnalisées. > At its core, Falco is a kernel monitoring and detection agent that observes events, > such as syscalls, based on custom rules. Source : readme ### Fait F2 Le projet annonce que les paquets deb et rpm ne restent plus partiellement configurés sur les noyaux incapables d’exécuter modern eBPF, notamment Ubuntu 20.04 avec le noyau 5.4. > fix(packaging): the deb and rpm packages no longer stay half-configured on kernels > that cannot run modern eBPF (for example Ubuntu 20.04 with kernel 5.4) Source : release ### Fait F3 Avec file_output et keep_alive: true, le projet annonce la correction de l’arrêt des écritures après un échec : celui-ci est journalisé et le fichier est rouvert à l’alerte suivante. > fix(userspace/falco): `file_output` with `keep_alive: true` no longer stops writing > after a failed write (e.g. a full filesystem); the failure is logged and the file > is reopened on the next alert Source : release ### Fait F4 Le projet annonce la correction d’un risque d’arrêt brutal de Falco lorsque la collecte des métriques Prometheus intervient pendant le traitement des événements. > fix(metrics): prevent a race that could crash Falco when Prometheus metrics are > scraped while events are being processed Source : release ## Analyse — interprétation, non testée localement Ces trois corrections visent des points distincts de continuité. Si un déploiement rencontre le cas F2, éviter un paquet partiellement configuré peut simplifier sa remise en état ; cela ne prouve pas que le noyau devient compatible avec modern eBPF. Si la sortie fichier constitue un passage nécessaire vers les analystes, F3 peut éviter qu’un incident d’écriture laisse durablement cette voie sans nouvelles alertes. La réouverture annoncée dépend toutefois de l’arrivée d’une nouvelle alerte, et la note ne promet pas de rejouer les écritures perdues. Enfin, si les métriques sont collectées pendant le traitement des événements, F4 peut supprimer une cause d’interruption de l’agent. Ce sont des raisonnements conditionnels, pas des résultats observés localement. Les vérifications proposées, jamais exécutées ici, seraient de contrôler l’état des paquets sur les noyaux concernés, la reprise effective des écritures après disparition de leur cause d’échec et la stabilité pendant une collecte de métriques concomitante au traitement. ## Conséquences positives possibles * Le correctif pourrait réduire les blocages de configuration et faciliter le rétablissement d’un déploiement. Condition : Si des paquets deb ou rpm rencontrent l’incompatibilité de noyau décrite. Faits : F2 * La sortie fichier pourrait reprendre sans rester bloquée par un échec antérieur. Condition : Si file_output utilise keep_alive: true, qu’une nouvelle alerte survient et que l’écriture est de nouveau possible. Faits : F3 * La supervision pourrait subir moins d’interruptions liées à ce scénario précis. Condition : Si la collecte des métriques Prometheus chevauche le traitement des événements et déclenchait le défaut corrigé. Faits : F4 ## Limites et conditions * La correction des paquets ne constitue pas une preuve de compatibilité du mode modern eBPF. Condition : Si le noyau ne peut pas exécuter ce mode. Faits : F2 * Ni la récupération des alertes non écrites ni une reprise immédiate ne sont garanties par l’annonce. Condition : Si une écriture a échoué ou qu’aucune nouvelle alerte ne survient. Faits : F3 * Aucun gain chiffré de disponibilité ni suppression de toutes les causes d’arrêt ne peut être déduit. Condition : Si l’on cherche à généraliser le correctif au- delà du scénario décrit. Faits : F4 ## Définitions Agent de surveillance du noyau Rôle de Falco : observer des événements du noyau selon des règles personnalisées. > At its core, Falco is a kernel monitoring and detection agent that observes events, > such as syscalls, based on custom rules. Source : readme modern eBPF Mode de collecte s’appuyant sur eBPF, une technologie qui recueille des mesures et des événements du noyau. Le correctif des paquets ne signifie pas que les noyaux cités deviennent compatibles. > eBPF is a technology to collect metrics and events from the Kernel in a secure > way. Source : ebpf-context file_output avec keep_alive: true Configuration de sortie fichier concernée par la reprise des écritures après un échec. > `file_output` with `keep_alive: true` no longer stops writing after a failed write Source : release Traitements simultanés Activités qui ont lieu pendant une même période ; ici, la collecte des mesures et le traitement des événements. La note ne détaille pas leur interaction interne fautive. > when Prometheus metrics are scraped while events are being processed Source : release Prometheus et métriques Prometheus est un système de supervision des systèmes et services. Il collecte des métriques, c’est-à-dire des mesures de fonctionnement, auprès de cibles configurées à intervalles définis. > is a systems and service monitoring system. It collects metrics > from configured > targets at given intervals Source : prometheus-context ## Bilan des sources Les notes de version étayent les trois annonces ; le README apporte uniquement le contexte fonctionnel. Les deux sources appartiennent au même projet : aucune corroboration indépendante n’est établie. Aucun test local, aucune mesure et aucune vérification opérationnelle n’ont été réalisés. Les bénéfices restent des hypothèses conditionnelles à valider sur les configurations concernées. Le glossaire officiel de Falco et la présentation officielle de Prometheus sont utilisés uniquement pour les définitions; ils ne constituent pas une confirmation indépendante des correctifs. * [Projet Falco — notes officielles 0.45.1](https://api.github.com/repos/falcosecurity/falco/releases/tags/0.45.1)— release * [Projet Falco — présentation au tag 0.45.1](https://raw.githubusercontent.com/falcosecurity/falco/0.45.1/README.md)— readme * [Projet Falco — définition de eBPF (contexte)](https://raw.githubusercontent.com/falcosecurity/falco-website/master/content/en/docs/reference/glossary/ebpf.md)— ebpf-context * [Projet Prometheus — définition de la supervision et des métriques](https://raw.githubusercontent.com/prometheus/prometheus/main/README.md)— prometheus-context