Telemetria da cadeia de execução eBPF e migração Tetragon

Variáveis de ambiente

EBPF_EXECUTION_CHAIN_ENABLED=true
EBPF_EVENTS_FILE=/var/log/ebpf_execution_events.jsonl
EBPF_MAX_EVENTS_PER_SCAN=5000

Encontrando mapeamento

• Mapeia eventos de execução do processo do kernel para execution_chain descobertas.
• Preserva a linhagem do processo e o contexto do pod nos metadados de origem.
• Deriva a severidade da semântica da ação (deny e kill são tratados como altos).
• Usa chaves de desduplicação determinísticas para evitar a criação de localização duplicada em verificações repetidas.

Orientação de implementação

• Comece no modo de observação para criar perfis de cargas de trabalho barulhentas antes de impor ações de negação.
• Retenha os arquivos de eventos com rotação para que o scanner possa consumir as janelas de atividades recentes.
• Correlacione com runtime_threat nativo e descobertas de inventário de carga de trabalho para contexto de triagem.