- action: Terminate Pod
  actionner: kubernetes:terminate

- action: Label Pod as Suspicious
  actionner: kubernetes:label
  parameters:
    labels:
      analysis/status: "suspicious"


# PR10_STACK_VERSION: v14-scenario-routing
# PR10_TALON_RULESET_ID: passive-v15-live-sync
# Talon demeure en ligne pendant les expériences de détection, mais cette règle
# ne peut jamais correspondre à un véritable événement Falco.

- action: Passive Marker Never Executed
  actionner: kubernetes:label
  parameters:
    level: pod
    labels:
      falco-passive-marker: "unexpected"

- rule: PR10 Passive Never Match
  description: Configuration Talon en mode observation seulement.
  match:
    rules:
      - PR10 __PASSIVE_NEVER_MATCH__
  actions:
    - action: Passive Marker Never Executed