libscap 标签归档

共 4 篇文章 · 返回首页

【Falco】运行时检测全景：缺口、五轴坐标系与 16 篇路线

相对 Tetragon 排除树、可观测对照与 linux/ebpf-security 快速启用清单，钉清 Falco 0.44.1 检测内核缺口；定义 Driver、libscap、libsinsp、规则引擎、输出与丢事件五条轴，并强调 modern_ebpf 与 kmod 分列证据包。

钉清 libscap 如何把驱动事件送入用户态：打开会话、ring/缓冲、API Version 与 Schema Version 协商，以及与 modern_ebpf / kmod 的接口差；说明 0.43→0.44 大 bump 的失败表象。

按 Falco 五轴映射无事件、协商失败、富化空洞、规则未命中与输出/丢事件；强调先点名轴、modern_ebpf 与 kmod 分列证据包；并说明不可与 Tetragon 五轴混因果。

补齐站内 Tetragon 排除树与产品对照之上的 Falco 检测内核：modern_ebpf 与 kmod 双引擎、libscap/libsinsp、规则引擎与输出，并以排障与相对 Tetragon/auditd/seccomp 的选型收束。