eBPF 実行チェーン テレメトリと Tetragon の移行

環境変数

EBPF_EXECUTION_CHAIN_ENABLED=true
EBPF_EVENTS_FILE=/var/log/ebpf_execution_events.jsonl
EBPF_MAX_EVENTS_PER_SCAN=5000

マッピングの検索

• カーネルプロセス実行イベントをマッピングします。 execution_chain 発見。
• プロセスリネージとポッドコンテキストをソースメタデータに保持します。
• アクションのセマンティクスから重大度を導き出します (deny そして kill 高いものとして扱われます）。
• 決定的な重複排除キーを使用して、スキャンを繰り返す際に重複した検出結果が作成されるのを回避します。

展開ガイダンス

• 拒否アクションを強制する前に、監視モードで開始してノイズの多いワークロードをプロファイリングします。
• スキャナーが最近のアクティビティ ウィンドウを消費できるように、イベント ファイルをローテーションして保持します。
• ネイティブの runtime_threat およびワークロード インベントリの結果と関連付けて、トリアージ コンテキストを作成します。