> 本文是写作规划，不是可发布正文。拆解对象：Falco 在 Linux / Kubernetes 上的运行时威胁检测内核——以 Falco 0.44.1（2026-06-11；源码 tag 0.44.1）为主线，把一次 syscall 相关安全事件从 双引擎驱动（modernebpf ∥ kmod），经 libsca…

本文介绍Falco 0.44.1运行时安全检测系列，聚焦modern_ebpf与kmod双引擎、libscap/libsinsp机制及规则引擎。文章定义五条排障坐标系：驱动加载、协商、状态富化、规则引擎、输出丢事件，并指出0.44已删除legacy eBPF和gRPC输出。核心是帮助识别检测事件在驱动、协商、富化或规则层的具体失败位置，而非简单安装指南。

Falco 0.44.1 仅支持 modern_ebpf 与 kmod 双引擎，legacy eBPF 已删除。modern_ebpf 需 BTF 与 ringbuf，可最小权限运行；kmod 需完整特权，适合旧内核或禁 BPF 环境。auto 仅是运维选择器，非第三引擎。排障须按实际加载引擎分列证据，避免误判。

本文介绍Falco 0.44.1中libscap的职责：与内核驱动通信、打开会话、读取ring缓冲、协商API/Schema版本。0.44与0.43不兼容，需成对升级驱动。scap-open仅验证原始事件捕获，不涉及规则引擎。排障时先查协商是否成功，再查规则，避免误判。

本文介绍Falco libsinsp状态富化机制：通过线程/FD表将原始事件转为规则可引用字段，依赖事件流与/proc或BPF iterators回填。富化字段可能因丢事件、回填失败而空洞，导致条件静默为假。用户态进程树非内核权威状态，与Tetragon exec_id不同。排障时需区分富化失败与规则未加载。

本文总结Falco 0.44.1中事件丢失问题，聚焦缓冲配置、drop指标语义及BPF迭代器恢复机制。强调区分缓冲不足与规则未命中，modern_ebpf可调CPU缓冲共享，迭代器加速状态愈合但容器非主机PID时自动禁用。调参需先确认引擎类型，避免误判，并分列双引擎证据包。

本文讨论Falco规则引擎的求值机制与失败模式，聚焦条件、优先级、异常三方面。核心观点：规则不告警常因条件字段为空或异常过宽，而非规则未加载；优先级不决定求值顺序，仅标定严重程度；排障应先验证事件进入引擎且字段非空，再调整规则。

本文介绍Falco 0.44.1规则加载机制，核心是规则文件如何进入进程及热更新边界。规则来源包括包内快照、本地挂载和falcoctl OCI分发，均需在rules_files中声明。加载失败表现为启动报错、规则缺失或行为未更新。热加载由watch_config_files控制，关闭时可用SIGHUP触发。falcoctl只负责落盘，不自动进入内存，需区分文件加载与字段富化问题。

Falco 0.44.1仅支持stdout、syslog、file、http、program五种输出方式，gRPC输出已移除。排障时需区分输出背压与驱动丢事件，先用stdout验证引擎命中，再检查下游通道。

本文介绍Falco 0.44.1中plugin框架的作用：container和k8smeta插件在用户态丰富容器与K8s元数据，与syscall主路径在规则求值前合流。插件未加载时，依赖其字段的规则会静默失效，而非报错。排障需检查load_plugins、运行时套接字及metacollector连通性，而非仅看规则diff。

本文介绍Falco 0.44.1部署中modern_ebpf与kmod引擎的选择。常见误区包括误用auto回退、将least-privileged能力集套用于kmod，以及异构节点静默回退后错误排障。部署时需按节点核对实际引擎，强制单一引擎应显式指定，避免静默分叉。least-privileged仅适用于modern_ebpf，kmod需完整特权。排障以进程侧Driver证据为准，而非全局配置。

本文讨论Falco 0.44.1的观测成本与噪声归因，强调用“成本×轴”框架分析，而非未测性能排名。双引擎差异主要在特权与加载，规则噪声源于规则集、异常、富化字段等，节流仅限文档化旋钮。误报漏报需先定位轴再改配置，禁止引用未实测的CPU对比或营销基准。

本文介绍Falco 0.44.1版本升级要点：0.43驱动与0.44用户态不兼容，需成对升级至10.2.0+driver；删除legacy eBPF、gVisor和gRPC输出；0.44.1新增禁用BPF iterators功能。提供升级检查单，强调配置清除、驱动匹配、规则插件兼容等关键步骤，避免启动失败或事件丢失。

本文介绍Falco 0.44.1排障方法，核心是“先点名轴，再下钻模块”。五轴包括：驱动加载、libscap协商、libsinsp富化、规则引擎、输出与丢事件。排障时需按引擎（modern_ebpf或kmod）分列证据，一次否证一轴，避免误改规则或重装。常见问题如无告警、规则静默、字段为空等，需对应检查驱动、协商、富化或输出，并区分Falco与Tetragon的因果，不混用证据。

本文对比Falco、Tetragon、auditd与seccomp四种安全工具，聚焦过滤位置与能否内联阻断。Falco在用户态规则引擎检测，适合告警；Tetragon内核选择器支持Override，可阻断操作；auditd提供合规审计账本；seccomp按syscall编号白名单拒绝。CVE-2022-26316揭示用户态读取参数存在TOCTOU竞态，但0.44.1已修复。选型取决于威胁模型与证明义务，非品牌偏好。

本文总结Falco 0.44.1告警响应边界：引擎仅保证输出至现存sink（如stdout/file/http），下游SIEM、自动处置等属平台响应栈。规则协作需明确仓库所有权、版本兼容及plugin字段依赖。自动化接口将Falco作事件源，动作由其他控制面执行。不涉及SIEM配置细节，开放问题留待第16篇。

本文是Falco运行时检测系列终章，通过机制排除树收束选型判断：明确何时该用Falco（自管K8s、能运维五轴、驱动可达），何时不该用（需inline阻断、合规要auditd、驱动不可达等）。回收Tetragon和Envoy Gateway的悬空指针，列出四项开放问题（auto回退可观测性、插件一致性SLO、联合runbook、迭代器默认策略），并给出ADR友好的收束建议。

本文介绍Falco 0.44.1运行时安全检测系列文章，聚焦用户态规则检测路径与双引擎（modern_ebpf和kmod）捕获机制。内容涵盖libscap/libsinsp协商、规则引擎、输出及丢事件排障，对比Tetragon、auditd和seccomp选型。强调版本锚定、双引擎不可互换性，并提供16篇路线图，帮助平台安全工程师从安装推进到可归因的告警排障。

本文对比了Tetragon与Falco、auditd、Cilium CNP/Hubble、seccomp四种安全方案的机制差异，聚焦于过滤位置与能否内联阻断。Falco在用户态解析参数存在TOCTOU竞态风险；auditd仅记录不阻断；CNP处理包路径而非进程；seccomp仅按syscall号过滤。Tetragon在内核hook匹配并支持Override，但仍有竞态窗口。选型需权衡机制与运维成本。