【Tetragon / eBPF】选择器与内核过滤：AND、first-match 与动作挂载点
钉清 TracingPolicy 选择器在 v1.7.0 的匹配语义（selector 内 AND、每 hook 最多 5 个、first-match OR）；覆盖 matchArgs/matchBinaries/matchParentBinaries 与 Post/NoPost/Override/Sigkill/Signal；区分内核动作与用户态 GetUrl/DnsLookup。
override 标签归档
共 3 篇文章 · 返回首页
【Tetragon / eBPF】强制执行：Override 与 SIGKILL 各自保证什么
按 Tetragon v1.7.0 官方 Enforcement 文档钉死：Override 使函数不执行并返回 argError；SIGKILL 终止进程但不保证当前 syscall 无副作用；monitor 与 enforce 如何把动作抹掉；以及 Bishop–Dilger–Garfinkel 的 TOCTOU 谱系落到 bpf_enforcer.c 的边界。
【Tetragon / eBPF】排障坐标系：无事件、策略不生效、导出缺口、误阻断与血缘空洞
按五轴映射 Tetragon v1.7.0 故障：无事件落在 Hook/BTF/加载，策略不生效落在 collectionKey 撞名与 policyfilter，JSON allow/deny 不等于 gRPC，Override 依赖 CONFIG_BPF_KPROBE_OVERRIDE，血缘空洞来自 execve_map 未命中与 procFS 回填。