Falco 0.44.1 仅支持 modern_ebpf 与 kmod 双引擎，legacy eBPF 已删除。modern_ebpf 需 BTF 与 ringbuf，可最小权限运行；kmod 需完整特权，适合旧内核或禁 BPF 环境。auto 仅是运维选择器，非第三引擎。排障须按实际加载引擎分列证据，避免误判。

本文介绍Falco 0.44.1部署中modern_ebpf与kmod引擎的选择。常见误区包括误用auto回退、将least-privileged能力集套用于kmod，以及异构节点静默回退后错误排障。部署时需按节点核对实际引擎，强制单一引擎应显式指定，避免静默分叉。least-privileged仅适用于modern_ebpf，kmod需完整特权。排障以进程侧Driver证据为准，而非全局配置。

本文总结了数据平台的选型决策，提出了交互式联邦、批ETL、嵌入式分析和流批一体四条路径。通过能力对照表，分析了不同引擎的下推深度、并发模型和运维复杂度，强调了查询引擎的核心功能及其在数据平台栈中的重要性，并提供了针对不同需求的引擎选择建议。