用途：在 Linux 主机或 Kubernetes 集群上部署内核级运行时安全监控，利用 eBPF 获得亚毫秒级的进程执行、网络连接与文件访问可见性，并可在内核层执行策略动作。
主要能力：Tetragon 默认产生 process_exec 与 process_exit 事件；通过 TracingPolicy 自定义 kprobe 监控，例如 fd_install 监控敏感文件访问、tcp_connect 监控出站连接、__sys_setuid 与 commit_creds 检测提权、sys_execve 结合 Sigkill 动作拦截未授权二进制执行。事件可输出为 compact 或 JSON 格式，导出到文件后由 Filebeat/Vector 等送入 SIEM。支持 TracingPolicyNamespaced 限定命名空间。
使用方式：K8s 环境通过 Helm 安装 tetragon 到 kube-system；独立 Linux 主机下载 release 包并将 tetragon、tetra 复制到 /usr/local/bin，以 sudo tetragon --btf /sys/kernel/btf/vmlinux 启动守护进程，用 tetra getevents -o compact 或 -o json 流式查看事件。编写 TracingPolicy YAML 后 kubectl apply，再按 event_set 等过滤查看。
前提与限制：需要 Linux 内核 5.3+ 且启用 BTF；K8s 部署需 1.24+、Helm 3.x、kubectl；Python 3.8+ 及 requests、kubernetes、pyyaml；加载 eBPF 需 root 或 CAP_BPF/CAP_SYS_ADMIN 权限。资料未提供具体性能基准、许可与价格信息。
适用场景：容器逃逸、反弹 shell、加密货币挖矿、敏感文件访问与提权等运行时检测与阻断。上述策略仅为示例，生产使用前需按实际环境验证。