modern-ebpf 标签归档 | 土法炼钢

【Falco】运行时检测全景：缺口、五轴坐标系与 16 篇路线

相对 Tetragon 排除树、可观测对照与 linux/ebpf-security 快速启用清单，钉清 Falco 0.44.1 检测内核缺口；定义 Driver、libscap、libsinsp、规则引擎、输出与丢事件五条轴，并强调 modern_ebpf 与 kmod 分列证据包。

钉清 Falco 0.44.1 仅保留的两条等级内核路径：modern_ebpf 的嵌入、CO-RE 与能力集，以及 kmod 的独立 .ko、签名与完整特权；说明何时不能互换，并把 auto 回退收束为运维门。

区分驱动/用户态缓冲丢事件与规则未命中：钉清 buf_size_preset 与缓冲维度、drop 指标语义、0.44 BPF iterators 愈合路径，以及 0.44.1 可禁用 iterators 的容器门与双引擎证据包差。

钉清 Falco 0.44.1 下 Helm/主机安装如何选定引擎：driver.kind ∈ {auto, modern_ebpf, kmod}；auto 是运维门不是第三条内核；least-privileged 能力集只适用于 modern_ebpf，kmod 需要完整特权。

补齐站内 Tetragon 排除树与产品对照之上的 Falco 检测内核：modern_ebpf 与 kmod 双引擎、libscap/libsinsp、规则引擎与输出，并以排障与相对 Tetragon/auditd/seccomp 的选型收束。