技术博客_eBPF内核可编程采集摘要：本文是「命令审计」系列的收官篇，从 auditd 在容器时代的两大结构性痛点（无容器元数据、过滤在用户态）切入，系统讲解 eBPF 是什么、过滤位置为何决定性能数量级、五件套工作原理（程序类型 / Map / Verifier / BTF 与 CO-RE / 用户态框架），以及它为何天生适合容器。随后梳理 Falco、Tetragon 等成熟生态与内核态阻断能力，并逐条拆解内核版本门槛、Verifier 拒绝、事件静默丢弃、eBPF 自身攻击面四类坑。最后给出根本边界——内存马不产生 execve，