Konteyner imajlarını taramak ve dağıtım öncesi politikaları uygulamak gerekli olsa da yeterli değildir; saldırgan davranışı çalışma zamanında ortaya çıkar. Bir pod içinde beklenmeyen bir kabuk açılması, servis hesabı belirtecinin okunması veya ana makine dosya sistemine erişim denemesi ancak sistem çağrısı düzeyinde görünür. Falco, çekirdek olaylarını izleyerek bu davranışları kural tabanlı biçimde tespit eden ve bulut yerel ekosistemde geniş kabul görmüş açık kaynak bir çalışma zamanı güvenlik aracıdır. Program altı modül boyunca tehdit modelinden yanıt otomasyonuna uzanan bir tespit hattı kurar. Katılımcılar laboratuvar kümesine Falco'yu dağıtır, varsayılan kural setini inceler, kendi ortamlarına özgü kurallar yazar ve saldırı simülasyon betikleriyle bu kuralları tetikleyerek doğrular; ardından yanlış pozitifleri ayarlama teknikleriyle azaltır. Eğitim sonunda her katılımcı beş özel tespit kuralı, ayarlama notları ve uyarı yönlendirme yapılandırmasından oluşan bir çalışma zamanı tespit paketi teslim eder.