eBPF-Ausführungskettentelemetrie und Tetragon-Migration

Umgebungsvariablen

EBPF_EXECUTION_CHAIN_ENABLED=true
EBPF_EVENTS_FILE=/var/log/ebpf_execution_events.jsonl
EBPF_MAX_EVENTS_PER_SCAN=5000

Zuordnung finden

• Ordnet Kernel-Prozessausführungsereignisse zu execution_chain Erkenntnisse.
• Behält die Prozessherkunft und den Pod-Kontext in den Quellmetadaten bei.
• Leitet den Schweregrad aus der Aktionssemantik ab (deny Und kill werden als hoch behandelt).
• Verwendet deterministische Dedup-Schlüssel, um die Erstellung doppelter Ergebnisse bei wiederholten Scans zu vermeiden.

Rollout-Anleitung

• Beginnen Sie im Beobachtungsmodus, um ein Profil für laute Arbeitslasten zu erstellen, bevor Sie Ablehnungsaktionen erzwingen.
• Behalten Sie Ereignisdateien mit Rotation bei, damit der Scanner aktuelle Aktivitätsfenster nutzen kann.
• Korrelieren Sie mit nativen runtime_threat- und Workload-Inventar-Ergebnissen für den Triage-Kontext.