Tetragon / eBPF 运行时安全：从进程血缘到 TracingPolicy
补齐站内 Cilium 数据面与可观测对照之上的运行时安全内核层：进程模型、Sensor/Hook、TracingPolicy 与内核过滤、强制执行、事件导出与节流，并以排障与相对 Falco/CNP 的选型收束。
tracingpolicy 标签归档
共 8 篇文章 · 返回首页
【Tetragon / eBPF】运行时安全全景：缺口、五轴坐标系与 16 篇路线
相对 Cilium 数据面、可观测对照与 Falco 口号，钉清 Tetragon v1.7.0 运行时安全内核缺口；定义进程血缘、Sensor/Hook、策略加载、过滤分层、强制执行五条坐标系，给出 16 篇阅读路线。
【Tetragon / eBPF】Sensor 与 Hook：进程传感器、kprobe、tracepoint、uprobe、LSM 与 fentry
钉清 Tetragon v1.7.0 内置 __base__ 进程传感器与 TracingPolicy 动态 hook 的分工：kprobe/kretprobe、tracepoint/rawtp、uprobe/USDT、LSM 与 fentry 各自能观察什么、依赖哪些内核能力，以及选错 hook 类型时的失败表象。
【Tetragon / eBPF】Agent 生命周期：BTF、安装形态与三条策略加载路径
钉清 Tetragon v1.7.0 agent 从 BTF/CO-RE 发现到 sensor 挂载的失败表象；对照 DaemonSet 与主机安装；说明默认 gRPC Unix socket 与 kubectl/gRPC/静态文件三条路径如何进入同一 collection map。
【Tetragon / eBPF】TracingPolicy：CRD、三条加载路径与 collectionKey
钉清 TracingPolicy 与 TracingPolicyNamespaced 的差异；给出 v1.7.0 CRD 字段总表（含 fentries）；说明 kubectl、gRPC、静态文件如何共用 collectionKey；并写明 Enable/Disable gRPC 在默认配置下返回错误。
【Tetragon / eBPF】文件、网络与能力观测面：路径解析、socket 与 cred 的失败模式
把 Tetragon v1.7.0 的文件、网络、能力观测收成三类 hook 模式：d_path 与参数类型如何解析路径、sock/sockaddr 看见什么、cred/capset 记录什么；并钉死路径截断、单挂载点、硬链接与 6.2+ truncate 符号消失等失败表象。
【Tetragon / eBPF】强制执行：Override 与 SIGKILL 各自保证什么
按 Tetragon v1.7.0 官方 Enforcement 文档钉死：Override 使函数不执行并返回 argError；SIGKILL 终止进程但不保证当前 syscall 无副作用；monitor 与 enforce 如何把动作抹掉；以及 Bishop–Dilger–Garfinkel 的 TOCTOU 谱系落到 bpf_enforcer.c 的边界。
【Tetragon / eBPF】排障坐标系：无事件、策略不生效、导出缺口、误阻断与血缘空洞
按五轴映射 Tetragon v1.7.0 故障：无事件落在 Hook/BTF/加载，策略不生效落在 collectionKey 撞名与 policyfilter，JSON allow/deny 不等于 gRPC，Override 依赖 CONFIG_BPF_KPROBE_OVERRIDE，血缘空洞来自 execve_map 未命中与 procFS 回填。