【Falco】观测税与误报面：成本归因到五轴
内容提要
本文讨论Falco 0.44.1的观测成本与噪声归因，强调用“成本×轴”框架分析，而非未测性能排名。双引擎差异主要在特权与加载，规则噪声源于规则集、异常、富化字段等，节流仅限文档化旋钮。误报漏报需先定位轴再改配置，禁止引用未实测的CPU对比或营销基准。
延伸解读
成本归因：先分轴再谈性能
文章强调，讨论Falco的观测成本时，应使用“成本×轴”框架，明确成本落在特权、缓冲、syscall覆盖面、规则求值还是下游sink。双引擎的差异主要在加载与特权，而非用户态规则引擎。避免将kmod节点的特权需求误判为CPU开销，也不应引用未实测的CPU对比。
噪声治理：先查事件与富化，再调规则
规则噪声常被误归因于驱动，实际多源于规则集过宽、异常配置不当或富化字段缺失。治理顺序应先确认原始事件存在且字段已富化，再收紧条件或异常。不要用禁用规则掩盖丢事件，否则可能跳过缓冲丢弃等可核对原因。
节流旋钮的边界：只信文档化选项
Falco 0.44.1没有与Tetragon cgroup-rate同构的按cgroup停投递开关。文档化的成本旋钮包括buf_size_preset、cpus_for_each_buffer、drop_failed_exit、base_syscalls等，但都非采样比。禁止将未文档化的“随机sample 10%”写入runbook，应以tag版本配置为准。
误报漏报：先点名轴再改配置
误报与漏报需先定位到具体轴：频繁告警属合法变更时查规则/异常轴；规则在实验命中但生产静默时查富化或规则加载；SIEM无告警但节点drop上涨时查缓冲/背压；完全无事件时查引擎加载。将漏报默认归因于攻击者绕过eBPF，会忽略可核对的缓冲丢弃与富化空洞。
Q&A
Falco 0.44.1 中观测税指的是什么？
观测税指为获得可判定事件，在特权面、缓冲内存、syscall 覆盖面、规则求值与下游 sink 上付出的机制成本，不是品牌性能排名。
Falco 的 modern_ebpf 和 kmod 双引擎在成本上主要差异在哪里？
双引擎的成本差异主要在加载与特权模型：modern_ebpf 可 least-privileged（四能力），kmod 需要完整特权加载 .ko；制品形态上 modern_ebpf 嵌入 binary，kmod 需要预构建或编译。捕获后进入同一 libscap→libsinsp→规则路径。
Falco 规则噪声的主要来源有哪些？
规则噪声主要来自默认规则集过宽、异常（exceptions）过窄或过宽、富化字段空导致条件漂移、优先级阴影等，常被误判为驱动问题。
Falco 0.44.1 有哪些文档化的节流或采样旋钮？
文档化旋钮包括 buf_size_preset（缓冲大小）、cpus_for_each_buffer（多 CPU 缓冲）、drop_failed_exit（丢弃失败 exit）、base_syscalls（自定义 syscall 集）、规则异常/禁用规则、disable_iterators（关闭 iterators 回退 procfs）。没有类似 Tetragon 的按 cgroup 停投递开关。
Falco 出现误报或漏报时，应如何定位问题？
应先定位问题所在的轴：频繁告警但合法变更优先查规则/异常（轴4）；规则在实验命中生产静默查字段富化或规则加载（轴3/4）；SIEM 无告警但节点 drop 在涨查缓冲/背压（轴5）；完全无 syscall 事件查引擎加载和 API 协商（轴1-2）；auto 后行为突变查实际引擎和特权模型（轴1）。
为什么不能引用未实测的 CPU 对比或营销基准来讨论 Falco 成本？
因为本系列无实测数据，未声明 workload、内核、规则集则不可比，营销 benchmark 不能支撑机制结论。成本讨论应使用成本×轴框架，明确成本落在特权、内存、覆盖面还是告警噪声上。
