İmaj taraması ve yapılandırma denetimi dağıtım öncesi riskleri azaltır; ancak bir konteyner çalışmaya başladıktan sonra ortaya çıkan davranışları görmez. Çalışma zamanı güvenliği, çekirdek seviyesinden gelen sistem çağrısı akışını izleyerek beklenmeyen kabuk açılması, hassas dosya erişimi veya ayrıcalık yükseltme gibi davranışları gerçek zamanlı yakalar. Falco, bu yaklaşımı açık kural diliyle uygulayan yaygın kullanılan bir araçtır. Program altı modülde kurulumdan olay müdahalesine uzanır. Katılımcılar Falco bileşenlerini Kubernetes kümesine kurar, varsayılan kural setini inceler ve kendi ortamlarına göre ayarlar, özel kural ve makro yazımını uygular. Kubernetes denetim günlüğü entegrasyonu, alarm yönlendirme ve otomatik yanıt akışları laboratuvarlarla işlenir. Saldırı senaryosu laboratuvarlarında konteyner kaçışı ve şüpheli davranış denemeleri yapılarak tespit kabiliyeti sınanır. Eğitim sonunda katılımcılar kendi kümeleri için bir çalışma zamanı tespit ve müdahale planı üretir.