Telemetría de cadena de ejecución de eBPF y migración de Tetragon

Variables ambientales

EBPF_EXECUTION_CHAIN_ENABLED=true
EBPF_EVENTS_FILE=/var/log/ebpf_execution_events.jsonl
EBPF_MAX_EVENTS_PER_SCAN=5000

Encontrar mapeo

• Asigna eventos de ejecución de procesos del kernel a execution_chain recomendaciones.
• Conserva el linaje del proceso y el contexto del pod en los metadatos de origen.
• Deriva la gravedad de la semántica de la acción (deny y kill son tratados como altos).
• Utiliza claves de deduplicación deterministas para evitar la creación de hallazgos duplicados en escaneos repetidos.

Guía de implementación

• Comience en modo de observación para perfilar cargas de trabajo ruidosas antes de aplicar acciones de denegación.
• Conserve los archivos de eventos con rotación para que el escáner pueda consumir ventanas de actividad reciente.
• Correlacione con runtime_threat nativo y los hallazgos del inventario de cargas de trabajo para el contexto de clasificación.