لمعظم العقد الماضي، كان أمان وقت التشغيل يعني وكيل. قمت بتثبيت البرامج على كل مضيف يرتبط بالنظام بطريقة ما — وحدة نواة أو shim ptrace أو مجموعة من المستخدمين تحليل السجلات — وراقبت السلوك السيء. عملت هذه الوكلاء، لكنهم جاءوا مع ضريبة: الأداء الزائد الكبير CPU والذاكرة، الهشاشة عبر إصدارات kernel والمخاطرة الحقيقية في حالة وحدات kernel بإيقاف النظام الذي بني ليحميه. بحلول عام 2026 تم نقل هذا النموذج إلى حد كبير من قبل نموذج أفضل. Extended Berkeley Packet Filter — eBPF — يسمح لأدوات الأمان بتشغيل برامج sandboxed داخل Linux kernel نفسه ومراقبة syscalls ومعالجة التنفيذ ونشاط الشبكة والوصول إلى الملفات في المصدر، مع overhead قياس في أجزاء من المئة والتخلص من وحدات kernel المخصصة للحفاظ على.
هذا التحول مهم بشكل خاص في بيئات التطبيقات الأصلية للسحابة، حيث تكون أحمال العمل مؤقتة والحاويات تشارك kernel والنموذج القديم لوكيل ثقيل لكل مضيف ببساطة لا يناسب. ثلاث أدوات مفتوحة المصدر تهيمن على مساحة أمان وقت تشغيل eBPF، وهي مختلفة بحقيقة حقيقية في الفلسفة: Falco، معيار الكشف المدرج في CNCF؛ Tetragon، محرك الملاحظة والإنفاذ من مشروع Cilium؛ و Tracee، أداة الكشف والتحقيق من Aqua Security. يشرح هذا الدليل كيف غيرت eBPF اللعبة، ثم يقارن الثلاثة عبر الكشف والإنفاذ والتحقيق والملاءمة التشغيلية حتى تتمكن من الاختيار بتعمد.
لماذا فازت eBPF
لتقدير الأدوات الثلاث، فإنه يساعد على فهم السبب في أن eBPF أزاح البدائل بحزم. كان لكل نهج أقدم حل حتمي. وحدات Kernel أعطت رؤية عميقة ولكن تشغيل بامتيازات kernel كاملة ويمكن أن تصرع النظام؛ خطأ في وكيل الأمان أصبح انهيار kernel. وكلاء الفضاء المستخدم كانوا آمنين لكن أعمى لنشاط kernel الكثير يفروض 15-30٪ overhead في بعض التكوينات لأن التبديل السياق الثابت بين kernel والمستخدم. نهج تحليل السجل كانت آمنة ورخيصة ولكن بلا أمل بعد الحقيقة وسهلة التهرب.
eBPF threaded الإبرة. البرامج تشغيل في kernel، لذلك يرون كل شيء في المصدر — syscalls، إنشاء العملية، حزم الشبكة، ملف يفتح — ولكنهم يعملون داخل صندوق sandbox محقق: kernel's verifier يثبت بشكل ثابت أن برنامج eBPF لا يمكن أن تصرع النظام أو حلقة للأبد أو وصول الذاكرة يجب أن لا يحصل على تحميل أبداً. والنتيجة هي rؤية مستوى kernel مع سلامة مستوى المستخدم، في overhead باستمرار قياس أقل من 1٪ من CPU. لا وحدات مخصصة لتجميع kernel، لا يصرع، لا ضريبة سياق ثقيل. بالنسبة للأحمال الأصلية للسحابة المؤقتة والعالية الكثافة، هذا المزيج بالضبط ما كان مطلوباً، وهو السبب في أن eBPF أصبح افتراضي أمان وقت التشغيل 2026 بدلاً من خيار واحد بين عدة.
التقاط — وهو جدير بالبيان بوضوح — هو أن eBPF يتطلب kernel معقول الحديث، والميزات الأعمق (مثل بعض خطافات الإنفاذ) تعتمد على قدرات kernel مثل دعم BTF و LSM. في الممارسة معظم التوزيعات الحالية تندرج تحت، لكن kernels القديمة جداً تبقى قيداً.
Falco: معيار الكشف
Falco هو الأكثر ثبوتاً من الثلاثة. أنشأتها Sysdig وتبرعت لـ CNCF في 2018، والآن مشروع متخرج، إنها فعلياً تنفيذ مرجعي للكشف عن التهديد وقت التشغيل المستند إلى eBPF. نموذجها هو إنذار يحركه القاعدة: Falco يستهلك تيار أحداث kernel عبر eBPF ويقيمها ضد مكتبة من القواعد المكتوبة في بناء جملة YAML محترم، إصدار التنبيهات عندما السلوك يطابق القاعدة. قد تقول القاعدة "تنبه إذا تم توليد قشرة داخل حاوية"، أو "تنبه إذا كتبت عملية إلى مسار حساس معروف"، أو "تنبه عن اتصال صادر إلى وجهة غير متوقعة."
نقاط قوة Falco هي النضج والنظام البيئي. لغة القاعدة قابلة للقرب، مجموعة القاعدة الافتراضية تحتوي على هيئة كبيرة من المعرفة المجتمعية حول السلوك المريب، وبسبب أنها معيار CNCF، فإنها تتكامل مع بشكل أساسي كل شيء — Kubernetes و SIEMs و alerting pipelines و broader cloud-native tooling landscape. إذا كان هدفك "الكشف والتنبيه عن السلوك المريب في وقت التشغيل مع أداة مفهومة جيداً وموسعة النطاق"، فـ Falco هو الافتراضي الآمن والذي له أعمق مجموعة من التوثيق والقواعد والتجربة التشغيلية للاستفادة منها.
تحديده المتعمد هو أن Falco يركز على الكشف. إنه يخبرك شيء سيء حدث؛ إنه ليس مصمماً بشكل أساسي لـ إيقاف ذلك في kernel. هذا نطاق معقول — العديد من الفريق يريد الكشف عن الإجابة على سير العمل بدلاً من الأتمتة في النواة — لكنه هو الخط حيث الأدوات الأخرى تميز نفسها.
Tetragon: الملاحظة والإنفاذ في النواة
Tetragon يأتي من مشروع Cilium (في الأصل Isovalent، الآن جزء من Cisco) وأساليب أمان وقت التشغيل من زاوية ملاحظة عميقة زائد الإنفاذ. مثل Falco يستخدم eBPF لمراقبة التنفيذ العملية والوصول إلى الملفات ونشاط الشبكة وتغييرات الامتياز، ينتج عنه أحداث غنية وينتباه تجاه Kubernetes. لكن قدرته المحددة هي أنه يمكن أن يتصرف في kernel: من خلال تطبيق خطاف LSM، Tetragon هي أداة eBPF مفتوحة المصدر مع قدرات أصلية block و kill، قادرة على إنهاء عملية مسيئة أو تجاوز syscall بشكل متزامن، في kernel، بدلاً من فقط إصدار تنبيه لشيء للرد عليه لاحقاً.
هذا مهم لأن الفجوة بين الكشف والاستجابة هو حيث يحدث الضرر. تنبيه أن عملية تبتز البيانات مفيد؛ سياسة قتل تلك العملية اللحظة التي تقوم بـ syscall المحرم هي الوقاية. من خلال موارد TracingPolicy المخصصة Tetragon يسمح لك بالإعلان بالضبط أي سلوكيات kernel لمراقبة وما الإجراء يجب اتخاذها — مراقبة أو الإنفاذ من خلال إشارة أو قتل أو إرجاع خطأ. مقترنة بسياق Kubernetes القوي (الأحداث مرتبطة بقرون ورسوم، لا فقط PIDs)، هذا يجعل Tetragon قوية بشكل خاص للفرق التي تريد كلا من الرؤية العميقة والقدرة على إنفاذ السياسة في مستوى kernel. ورقة Tetragon تغطي نموذج السياسة بالتفصيل.
المقايضة هي الوزن المفاهيمي. الإنفاذ قوي ومخاطر وفقاً لذلك — سياسة قتل بسيطة يمكن أن تسقط أحمال عمل شرعية — وأداة model الاتصالات لها سطح مزيد من المساحة أكثر من قواعد Falco. Tetragon المكافآت الفريق جاهز للاستثمار في هذا النموذج مع الوقاية، لا فقط الكشف.
Tracee: الكشف زائد الطب الشرعي
Tracee، من Aqua Security، تحتل موقع ثالث: الكشف المستند إلى eBPF مع التحقيق يؤكد على الطب الشرعي. مثل الآخرين فهو يتبع أحداث kernel ويطبق التوقيعات السلوكية لعلم التقنيات الهجوم — مكافحة تصحيح واللوغاريتمي الديناميكي وحقن LD_PRELOAD وتصعيد الامتياز والهروب من الحاوية. حيث يميز نفسه هو ما يمكن أن يقبضها للتحقيق: Tracee يمكن أن يقبض الملفات الثنائية المنفذة ومناطق الذاكرة وحركة المرور على الشبكة لكل حدث إلى القرص، إعطاء responder حادث الأثار الفعلية من هجوم بدلاً من فقط تنبيه حدثت واحد.
هذا الالتقاط الطب الشرعي هو المميز. عندما الكشف يطلق النار والسؤال فوري هو "ما الذي فعله بالضبط؟" — و Tracee بنيت للإجابة على ذلك بالحفاظ على الأدلة. نظام التوقيع (Go و Rego) قابل للتوسع، وتصفية الأحداث والنطاق كافية للتركيز على العمليات أو الحاويات من الفائدة بالضبط. للفريق الذي الأولوية لا الكشف عن هجوم حدثت لكن يمكن أن تعيد بناء وتحليلها، قدرات Tracee's capture مقنعة. ورقة Tracee يضع خيارات المحدد والالتقاط.
موقع Tracee's يعني أنه يتداخل مع Falco على الكشف بينما يمتد إلى الطب الشرعي، والتداخل أقل مع Tetragon's enforcement focus. الكشف والتحقيق بدلاً من الكشف ومنع.
كيف يقارنون
الأدوات الثلاث هي أفضل مفهوم من قبل مركز الجاذبية بدلاً من قائمة الميزات، لأن الجميع ثلاثة مشاركة مؤسسة eBPF والجميع ثلاثة الكشف السلوك المريب. Falco يركز على الكشف والتنبيه مع أعمق النظام البيئي والمنحنى التعليمي الألطف — الخيار القياسي عندما تريد الكشف المهدد النضج بشكل جيد والموسعة نطاق التنبيه للرد على خط الأنابيب. Tetragon يركز على الملاحظة زائد الإنفاذ في النواة، الوحيد من الثلاثة الذي يحظر ويقتل أصلاً، مما يجعله الخيار عندما الوقاية في مستوى kernel هو الهدف والفريق سوف يستثمر في نموذج السياسة. Tracee يركز على الكشف زائد الالتقاط الطب الشرعي، الخيار عندما إعادة بناء وتحليل الهجمات مهمة مثل الكشف عنها.
علاقتهم بالمناظر الطبيعية التجارية توضح أيضاً الأشياء. Falco يقوم بتغذية منصة Sysdig's commercial CNAPP؛ Tetragon يأتي من Cilium/Isovalent lineage الآن داخل Cisco؛ Tracee يأتي من Aqua. في جميع الحالات الثلاث الأداة مفتوحة المصدر هي حقاً قابلة للاستخدام على الخاص بها، مع المورد الذي يقدم منصة مدارة طبقة على أعلى من الفريق الذي يريد الدوحات المركزية والنطاق CNAPP الأوسع والدعم. يمكنك تبني أي من أدوات مفتوحة المصدر الثلاث بدون شراء أي شيء، وهو جزء من السبب في أن هذا المجال المتحد حول هم.
نقطة جديرة بالحكم هي أن هذه الأدوات ليست حصرياً بدقة متبادلة. تشغيل بعض المنظمات Falco لمجموعة كشفها الناضجة جنباً إلى جنب Tetragon الإنفاذ، تقبل بعض التداخل في تبادل أفضل من كل. بشكل أكثر شيوعاً على الرغم من ذلك، فريق اختيار الواحد التي مركز الجاذبية يطابق احتياجهم الأساسي، لأن تشغيل وكلاء kernel-instrumenting متعددة لها overhead والتكلفة التشغيلية الخاصة به.
كشف ملموس واحد وثلاثة طرق
لجعل الاختلافات الملموسة خذ سيناريو هجوم واحد الشائع — عكس قشرة موليدة داخل حاوية — وانظر كيفية الأداة كل يعالج ذلك. السلوك بلا لبس: عملية حاوية spawns /bin/bin (أو مماثل) مع تدفقات معيارية مرتبطة بمقبس شبكة، نمط لا يرى تقريباً في أحمال عمل containerized القانونية، الذي عادة يقصد العملية المحددة الواحدة.
مع Falco، سيكون لديك قاعدة مطابقة "قشرة موليدة في حاوية مع اتصال صادر مرفق"، وعندما الشرك العكس يطلق، Falco ينبع تنبيه من خلال قنوات إخراجها — إلى stdout، الملف، SIEM، أو إنذار خط الأنابيب. الاستجابة ما تفعله أدوات downstream بأن التنبيه: صفحة إنسان، شغل أتمتة، سجل للتحقيق. Falco رأى ذلك وأخبر؛ يتصرف شخص آخر وظيفة.
مع Tetragon، يمكنك القيام بالكشف نفسه، لكن يمكنك أيضاً إرفاق إجراء الإنفاذ للسياسة. TracingPolicy مراقبة نمط exec الذي يمكن أن تحمل الإجراء Sigkill، حتى اللحظة العملية المسيئة يجعل المكالمة المحرم، Tetragon ينهيها في kernel — قبل القشرة قابلة للاستخدام. الهجوم ليس كشف فقط بل منع، متزامن، بدون جولة رحلة للمستخدم والظهر. المقايضة هي أن يجب أن تكون واثقة السياسة لن تطابق العملية الشرعية، لأن عاقبة match خاطئ عملية مقتولة.
مع Tracee، الكشف يطلق النار من التوقيع السلوكي، وثم قدرات الطب الشرعي ينخرط: يمكن أن يقبض الملف الثنائي المنفذ وذاكرة العملية واتصال حركة المرور إلى القرص. responder الحادث يصل لا فقط لتنبيه لكن للحفاظ على مجموعة من الأثار — البرمجيات الخبيثة الفعلية، حركة المرور exfiltration الفعلية — جاهزة للتحليل. التركيز على جعل تحقيق post-detection كغني كما هو ممكن.
هجوم نفس، ثلاث فلسفات: أخبر، منع، أو الحفاظ على التحليل. لا واحد خاطئ؛ هم يعكسون إجابات مختلفة للسؤال الذي يجب أن يحدث الفوري شيء سيء كشف، والسؤال أنت أجب قبل اختيار أداة.
اختيار والنشر
القرار يتدفق من ما تحاول فعلاً لتحقيقه. إذا كنت تريد الكشف عن التهديد في وقت التشغيل بأقل احتكاك والدعم الأوسع، ابدأ مع Falco — إنها المعيار لأسباب جيدة والأسهل موظف وتشغيل. إذا كان الأولوية الخاصة بك منع السلوك السيء في kernel، ليس فقط يجري أخبر عنها، وتشغيل Kubernetes حيث نموذجها الهوية يتألق، اختر Tetragon والميزانية الوقت لتعلم TracingPolicy واختبار الإنفاذ بعناية قبل تفعيل قتل الإجراءات في الإنتاج. إذا كان عملك heavy incident-response ويجب أن يقبض وتحليل الأثار من هجوم، اختر Tracee عن قدرات الالتقاط الطب الشرعي.
أيهما التقط، واقع النشر قليل تطبيق عبر الثلاثة. تأكد kernels ملبية المتطلبات، خاصة للميزات الإنفاذ التي تعتمد على LSM و BTF. ابدأ في posture الكشف فقط واضبط القواعد أو التوقيعات مقابل أحمال العمل الحقيقية قبل النظر في أي إنفاذ، لأن الطريقة الأسرع فقدان ثقة في أداة أمان وقت التشغيل هي إيجابي خاطئ يقتل عملية الإنتاج. أسلاك تيار الحدث في الملاحظة الموجودة والمشهد بدلاً من علاجه جزيرة. وتذكر ذلك الحمل الزائد منخفض لا صفر في الحجم الأقصى — التحقق من التأثير على الأعلى نقل عقدة. مؤسسة eBPF يجعل الثلاثة دراماتيكياً أخف من الوكلاء أستبدلوا، لكن نشر منضبط لا يزال مهماً.
قاع السفلي
eBPF أعادت كتابة أمان وقت التشغيل بإعطاء أدوات kernel-level visibility مع verified، وأقل من 1 ٪ overhead safety، تقاعد الوحدات fragile kernel والثقيلة userspace وكلاء الذين جاء قبل. الأدوات مفتوحة المصدر الثلاث التي تحدد مساحة كل اختيار مركز الجاذبية على نفس مؤسسة: Falco لكشف ناضج وإنذار، Tetragon للملاحظة والإنفاذ في النواة، و Tracee للكشف زائد الالتقاط الطب الشرعي. مطابقة الأداة لهدفك الأساسي — اكتشف أو منع أو تحقيق — نشره في وضع كشف فقط أولاً، ضبط مقابل حركة حقيقية، وتحصل على حماية أخيراً يناسب كيف أنظمة cloud-native فعلاً تشغيل.
المراجع والموارد
الأدوات
خلفية وتحليل
- eBPF Runtime Security Tools 2026: Falco vs Tetragon vs Tracee
- Container Runtime Security 2026 — NomadX
- Open Source CWPP: Falco, Tracee, Tetragon Overview
أشياء مرتبطة 1337skills