【Falco】运行时检测全景：缺口、五轴坐标系与 16 篇路线
相对 Tetragon 排除树、可观测对照与 linux/ebpf-security 快速启用清单，钉清 Falco 0.44.1 检测内核缺口；定义 Driver、libscap、libsinsp、规则引擎、输出与丢事件五条轴，并强调 modern_ebpf 与 kmod 分列证据包。
v0.44.1 标签归档
共 17 篇文章 · 返回首页
【Falco】双引擎对照：modern_ebpf 与 kmod 等级路径
钉清 Falco 0.44.1 仅保留的两条等级内核路径：modern_ebpf 的嵌入、CO-RE 与能力集，以及 kmod 的独立 .ko、签名与完整特权；说明何时不能互换，并把 auto 回退收束为运维门。
【Falco】libscap：捕获会话与 API/Schema 协商
钉清 libscap 如何把驱动事件送入用户态：打开会话、ring/缓冲、API Version 与 Schema Version 协商，以及与 modern_ebpf / kmod 的接口差；说明 0.43→0.44 大 bump 的失败表象。
【Falco】libsinsp：状态富化与用户态进程树
钉清 libsinsp 如何用机器状态、线程/FD 表与用户态进程树富化 scap 事件；对照 Tetragon exec_id 的内核血缘差，并列出富化失败时规则条件「永远假」的表象。
【Falco】丢事件与缓冲：drop 归因与 BPF iterators 门
区分驱动/用户态缓冲丢事件与规则未命中：钉清 buf_size_preset 与缓冲维度、drop 指标语义、0.44 BPF iterators 愈合路径，以及 0.44.1 可禁用 iterators 的容器门与双引擎证据包差。
【Falco】规则语言与引擎：条件、优先级与异常
钉清 Falco 0.44.1 规则轴：YAML 结构、条件求值与字段依赖、priority 与 exceptions 的语义差、引擎在 libsinsp 中的位置，以及条件永远假与异常过宽两类失败表象。
【Falco】规则加载与 falcoctl：默认集、远程与热加载边界
说明 Falco 0.44.1 规则如何进入进程：默认规则集与 falcoctl OCI 工件、本地/远程分工、加载失败表象，以及 watch_config_files / SIGHUP 热加载边界；不写规则仓库订阅菜谱。
【Falco】输出面：sink 白名单与 gRPC 删除门
钉清 Falco 0.44.1 告警离开引擎后的 sink 白名单；强调 0.44.0 已删除 gRPC output/server；区分输出背压与轴 5 驱动丢事件，并限定下游只能接到仍存在的通道。
【Falco】Plugin 框架：container / k8smeta 与 syscall 主路径
说明 Falco 0.44.1 plugin 框架如何扩展事件源与字段；钉 container / k8smeta 与 syscall 主路径的分工、字段合流，以及元数据空时规则静默不命中；不写第三方 plugin 百科。
【Falco】部署与 driver.kind：Helm、auto 回退与 least-privileged
钉清 Falco 0.44.1 下 Helm/主机安装如何选定引擎：driver.kind ∈ {auto, modern_ebpf, kmod}；auto 是运维门不是第三条内核；least-privileged 能力集只适用于 modern_ebpf，kmod 需要完整特权。
【Falco】观测税与误报面：成本归因到五轴
把 Falco 0.44.1 的权限/部署成本、规则噪声与已文档化的缓冲/base_syscalls 旋钮归因到五轴；区分误报与漏报落格；禁止未测 CPU% 排行榜与照抄站内对照数字。
【Falco】运维与升级：0.43→0.44 成对换驱动
按 0.44.0/0.44.1 Release Notes 钉破坏面：legacy eBPF、gVisor、gRPC output 已删；API/Schema 大 bump 要求用户态与 10.2.0+driver 成对升级；附升级否证表与 live 文档 vs tag 门禁。
【Falco】排障坐标系：五轴否证与双引擎证据包
按 Falco 五轴映射无事件、协商失败、富化空洞、规则未命中与输出/丢事件；强调先点名轴、modern_ebpf 与 kmod 分列证据包；并说明不可与 Tetragon 五轴混因果。
【Falco】对照替代路径：Tetragon、auditd 与 seccomp
从过滤位置与能否 inline 阻断对照 Tetragon、auditd 与 seccomp；以 CVE-2022-26316 / GHSA-6v9j-2vm2-ghf7 作为历史检查窗口反例，不做 CPU 排行，也不写成弃用 Falco 的充分条件。
【Falco】响应与生态边界：告警下游到哪里为止
钉清 Falco 0.44.1 告警离开引擎后本系列承诺到哪一步：下游接线边界、规则仓库协作、响应自动化接口；不写 SIEM 逐步配置，并把生态开放问题交给选型终章。
【Falco】选型收束与开放问题：排除树与系列边界关闭
用机制排除树收束何时不该跑 Falco；回收 Tetragon 16 与 Envoy Gateway 16 的 Falco 叶；列出 auto 可观测性、plugin 一致性 SLO、联合 runbook 与 BPF iterators 默认策略等开放问题；以 ADR 友好语言关闭续作边界。
Falco / 运行时检测：从双引擎驱动到规则引擎
补齐站内 Tetragon 排除树与产品对照之上的 Falco 检测内核：modern_ebpf 与 kmod 双引擎、libscap/libsinsp、规则引擎与输出，并以排障与相对 Tetragon/auditd/seccomp 的选型收束。