متغيرات البيئة
EBPF_EXECUTION_CHAIN_ENABLED=true EBPF_EVENTS_FILE=/var/log/ebpf_execution_events.jsonl EBPF_MAX_EVENTS_PER_SCAN=5000
العثور على رسم الخرائط
- يقوم بتعيين أحداث تنفيذ عملية kernel إلى
execution_chainالنتائج. - يحافظ على نسب العملية وسياق الكبسولة في البيانات التعريفية المصدر.
- يستمد خطورة من دلالات العمل (
denyوkillيتم التعامل معها على أنها عالية). - يستخدم مفاتيح الحذف الحتمية لتجنب إنشاء البحث المكرر عند عمليات الفحص المتكررة.
إرشادات الطرح
- ابدأ في وضع المراقبة لتحديد أعباء العمل المزعجة قبل فرض إجراءات الرفض.
- احتفظ بملفات الأحداث مع التدوير حتى يتمكن الماسح الضوئي من استهلاك نوافذ الأنشطة الحديثة.
- ارتبط بنتائج runtime_threat الأصلية ومخزون عبء العمل لسياق الفرز.