环境变量
EBPF_EXECUTION_CHAIN_ENABLED=true EBPF_EVENTS_FILE=/var/log/ebpf_execution_events.jsonl EBPF_MAX_EVENTS_PER_SCAN=5000
寻找映射
- 将内核进程执行事件映射到
execution_chain发现。 - 在源元数据中保留进程沿袭和 Pod 上下文。
- 从动作语义中得出严重性（
deny和kill被视为高）。 - 使用确定性重复数据删除键来避免在重复扫描时创建重复的查找结果。
推出指导
- 在执行拒绝操作之前，以观察模式启动以分析嘈杂的工作负载。
- 通过旋转保留事件文件，以便扫描仪可以使用最近的活动窗口。
- 与本机runtime_threat和分类上下文的工作负载清单结果相关联。