Seminar Falco – Treiber, Modern eBPF und Troubleshooting

Das technische Seminar vertieft Falcos Ereigniserfassung mit Modern eBPF und Kernelmodul und vermittelt eine methodische Diagnose für Kompatibilitäts-, Lade-, Berechtigungs-, Drop- und Sichtbarkeitsprobleme. Der Aufbau verbindet fachliche Einordnung, nachvollziehbare Konfigurationsschritte, kontrollierte Tests und dokumentierte Betriebsentscheidungen.

Inhaltsübersicht

• Zielsetzung
• Lernziele
• Seminarinhalte
• Praxisübungen
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Zielsetzung

Das Seminar schafft einen belastbaren Arbeitsablauf im Themenbereich „Treiber, Modern eBPF und Troubleshooting“. Jede Änderung wird vorbereitet, schrittweise umgesetzt, technisch geprüft und so dokumentiert, dass sie in Test- und Produktionsumgebungen wiederholbar bleibt.

Lernziele

• Erfassungsarchitektur fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Modern eBPF bereitstellen fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Kernelmodul als Alternative fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Fehlende Ereignisse untersuchen fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Drops und Performance fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.
• Diagnose-Runbook fachlich einordnen, praktisch anwenden und mit eindeutigen Prüfpunkten absichern.

Seminarinhalte

1. Erfassungsarchitektur

1. Schritt 1: Systemaufrufpfad, Kernel- und Userspace-Komponenten sowie Buffering nachvollziehen.
2. Schritt 2: Modern eBPF und Kernelmodul nach Voraussetzung, Wartbarkeit und Einschränkung vergleichen.
3. Schritt 3: Treiberwahl für mehrere Kernel- und Clusterklassen dokumentieren.

2. Modern eBPF bereitstellen

1. Schritt 1: Kernelvoraussetzungen, BTF, Dateisysteme und notwendige Berechtigungen prüfen.
2. Schritt 2: Treiber aktivieren und geladenen Zustand sowie Eventfluss kontrollieren.
3. Schritt 3: Typische Startfehler anhand von Logs, Status und Kernelmerkmalen beheben.

3. Kernelmodul als Alternative

1. Schritt 1: Build- oder Paketvoraussetzungen sowie Signierung und Secure-Boot-Einflüsse erfassen.
2. Schritt 2: Modul laden, Version und Bindung an Falco prüfen.
3. Schritt 3: Inkompatible oder blockierte Module kontrolliert diagnostizieren und zurückbauen.

4. Fehlende Ereignisse untersuchen

1. Schritt 1: Testaktivität erzeugen und Rohereignis, Regelbedingung und Ausgabe getrennt prüfen.
2. Schritt 2: Scope-Probleme durch Container-Namespace, Hostzugriff oder Filter identifizieren.
3. Schritt 3: Treiberfehler von Regel- und Outputfehlern mit Gegenproben abgrenzen.

5. Drops und Performance

1. Schritt 1: Drop-Zähler und Eventraten unter normaler und erhöhter Last erfassen.
2. Schritt 2: Buffer-, CPU-, Regel- und Output-Engpass anhand von Messreihen unterscheiden.
3. Schritt 3: Eine Änderung vornehmen und Wirkung gegen die Ausgangsbaseline verifizieren.

6. Diagnose-Runbook

1. Schritt 1: System-, Kernel-, Treiber-, Falco- und Containerinformationen reproduzierbar sammeln.
2. Schritt 2: Prüfreihenfolge von Voraussetzungen über Eventfluss bis Ausgabe festlegen.
3. Schritt 3: Eskalationspaket mit Zeitlinie, Befunden, Gegenproben und Rückbauinformationen erstellen.

Praxisübungen

1. Übung 1: Ausgangslage für „Erfassungsarchitektur“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
2. Übung 2: Ausgangslage für „Fehlende Ereignisse untersuchen“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
3. Übung 3: Ausgangslage für „Diagnose-Runbook“ erfassen, Arbeitsauftrag durchführen, erwartetes Ergebnis prüfen und Abweichungen protokollieren.
4. Übung 4: einen integrierten Fall vom vorbereiteten Ausgangszustand bis zur technischen Abnahme durchführen.

Zielgruppe und Voraussetzungen

Zielgruppe: Linux- und Kubernetes-Administration, Plattformengineering, SRE, Security Engineering und technischer Support.

Voraussetzungen: Sichere Linux-, Kernel-, Prozess- und Containergrundkenntnisse sowie erste Falco-Betriebserfahrung.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Arbeitsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet einen definierten Ausgangszustand, ein erwartetes Ergebnis und einen Prüfpfad. Konfigurationsstände, Messwerte und Entscheidungen werden nachvollziehbar festgehalten.