libsinsp 标签归档

共 5 篇文章 · 返回首页

【Falco】运行时检测全景：缺口、五轴坐标系与 16 篇路线

相对 Tetragon 排除树、可观测对照与 linux/ebpf-security 快速启用清单，钉清 Falco 0.44.1 检测内核缺口；定义 Driver、libscap、libsinsp、规则引擎、输出与丢事件五条轴，并强调 modern_ebpf 与 kmod 分列证据包。

钉清 libsinsp 如何用机器状态、线程/FD 表与用户态进程树富化 scap 事件；对照 Tetragon exec_id 的内核血缘差，并列出富化失败时规则条件「永远假」的表象。

钉清 Falco 0.44.1 规则轴：YAML 结构、条件求值与字段依赖、priority 与 exceptions 的语义差、引擎在 libsinsp 中的位置，以及条件永远假与异常过宽两类失败表象。

说明 Falco 0.44.1 plugin 框架如何扩展事件源与字段；钉 container / k8smeta 与 syscall 主路径的分工、字段合流，以及元数据空时规则静默不命中；不写第三方 plugin 百科。

补齐站内 Tetragon 排除树与产品对照之上的 Falco 检测内核：modern_ebpf 与 kmod 双引擎、libscap/libsinsp、规则引擎与输出，并以排障与相对 Tetragon/auditd/seccomp 的选型收束。