用途：在 Kubernetes 环境中部署并配置 Cilium Tetragon，实现基于 eBPF 的运行时安全可观测性与内核级强制策略，覆盖进程执行、文件访问、网络连接和系统调用监控。
主要能力：Tetragon 将 eBPF 程序挂载到内核函数，可跟踪进程生命周期、检测敏感文件读写、观测 TCP/UDP 连接并附带 Pod 上下文、过滤 ptrace/mount/unshare 等危险系统调用。通过 TracingPolicy 自定义资源定义观测事件与动作，支持三种内核强制动作：Sigkill（终止进程）、Signal（发送信号）、Override（覆盖内核函数返回值以拒绝操作）。资料称性能开销低于 1%。
使用方式：需 Kubernetes v1.24+、Helm 3.x、Linux 内核 5.4+（推荐 5.10+）、cluster-admin 权限。安装命令：helm repo add cilium https://helm.cilium.io；helm repo update；helm install tetragon cilium/tetragon --namespace kube-system --set tetragon.enableProcessCred=true --set tetragon.enableProcessNs=true --set tetragon.grpc.address="localhost:54321"。CLI 安装后可用 tetra status 验证，用 tetra getevents 流式查看事件，支持 compact/json 输出。可配置导出到 Elasticsearch，并在 :2112/metrics 暴露 Prometheus 指标，配合 ServiceMonitor 采集。
适用场景：容器逃逸检测、敏感凭据文件访问监控、加密货币挖矿程序拦截、合规安全控制建设、安全架构评估。
限制：资料未提供具体收费、价格或平台支持范围；需具备 eBPF 与 Kubernetes 安全基础；内核版本不足会影响完整功能；事件缓冲区溢出可能导致事件丢失（tetragon_missed_events_total）。