Telemetria della catena di esecuzione eBPF e migrazione del Tetragon

Environment variables

EBPF_EXECUTION_CHAIN_ENABLED=true
EBPF_EVENTS_FILE=/var/log/ebpf_execution_events.jsonl
EBPF_MAX_EVENTS_PER_SCAN=5000

Trovare la mappatura

• Mappa gli eventi di esecuzione del processo del kernel su execution_chain risultati.
• Preserva la derivazione del processo e il contesto del pod nei metadati di origine.
• Deriva la gravità dalla semantica dell'azione (deny E kill vengono considerati elevati).
• Utilizza chiavi di deduplicazione deterministiche per evitare la creazione di risultati duplicati su scansioni ripetute.

Guida all'implementazione

• Inizia in modalità di osservazione per profilare i carichi di lavoro rumorosi prima di applicare azioni di negazione.
• Conserva i file degli eventi con rotazione in modo che lo scanner possa utilizzare le finestre delle attività recenti.
• Correlazione con runtime_threat nativo e risultati dell'inventario del carico di lavoro per il contesto di triage.