커널에서 선별하는 사건
정책과 필터를 커널의 eBPF 프로그램에 적용해 관심 있는 이벤트를 고른다. 관측 대상 전체를 사용자 공간으로 전달한 뒤 분석하는 대신 필요한 사건을 선별해 전달한다. 파일과 소켓 및 실행 파일 이름 같은 조건을 사용할 수 있다.
추적 정책과 실행 중 대응
추적 정책으로 커널 함수와 그 인자 및 반환 값 등의 정보를 관측한다. 커널 상태와 프로세스의 맥락 정보를 결합해 보안 규칙을 평가하며 설정한 조건에 따라 차단이나 프로세스 종료 같은 대응을 수행할 수 있다.
워크로드와 연결한 맥락
Kubernetes 환경에서는 네임스페이스와 Pod 등의 신원을 이해하므로 특정 워크로드와 관련된 탐지 조건을 구성할 수 있다. 프로세스의 권한과 네트워크 및 파일 접근을 서비스 실행 환경에 연결해 해석하는 것이 주요 용도다.