本文介绍Tetragon v1.7.0的Sensor与Hook机制。核心是`__base__`传感器负责进程生命周期（exec/clone/exit）并维护execve_map，TracingPolicy则按类型另挂kprobe、tracepoint、uprobe、LSM和fentry程序。选错Hook类型会导致无事件、参数错误或TOCTOU问题。LSM需CONFIG_BPF_LSM支持，fentry不支持enforcement。

本文介绍Linux内核追踪技术栈，包括ftrace、tracepoint、kprobe、uprobe和bpftrace，用于定位用户态工具无法解释的延迟问题。通过生产案例说明其价值，并详述各工具用法、生产安全模型、决策树及工程坑点，强调限时、过滤和审计等安全实践。