runtime-security 标签归档 | 土法炼钢

【Falco】运行时检测全景：缺口、五轴坐标系与 16 篇路线

相对 Tetragon 排除树、可观测对照与 linux/ebpf-security 快速启用清单，钉清 Falco 0.44.1 检测内核缺口；定义 Driver、libscap、libsinsp、规则引擎、输出与丢事件五条轴，并强调 modern_ebpf 与 kmod 分列证据包。

从过滤位置与能否 inline 阻断对照 Tetragon、auditd 与 seccomp；以 CVE-2022-26316 / GHSA-6v9j-2vm2-ghf7 作为历史检查窗口反例，不做 CPU 排行，也不写成弃用 Falco 的充分条件。

补齐站内 Tetragon 排除树与产品对照之上的 Falco 检测内核：modern_ebpf 与 kmod 双引擎、libscap/libsinsp、规则引擎与输出，并以排障与相对 Tetragon/auditd/seccomp 的选型收束。

Seccomp 只能说 yes or no，但攻击者早就学会了在 yes 里面做文章。是时候让 eBPF 接管安全审计了。

从过滤发生在哪一层、能否 inline 阻断对照 Falco、auditd、Cilium CNP/Hubble 与 seccomp；以 Garfinkel NDSS 2003 与 Falco CVE-2022-26316 作为 TOCTOU 谱系，不做 CPU 或内存排行。

补齐站内 Cilium 数据面与可观测对照之上的运行时安全内核层：进程模型、Sensor/Hook、TracingPolicy 与内核过滤、强制执行、事件导出与节流，并以排障与相对 Falco/CNP 的选型收束。

相对 Cilium 数据面、可观测对照与 Falco 口号，钉清 Tetragon v1.7.0 运行时安全内核缺口；定义进程血缘、Sensor/Hook、策略加载、过滤分层、强制执行五条坐标系，给出 16 篇阅读路线。