Kernel-level filtering 기반 PID 트리 추적으로 분석 노이즈 제거

Context

Falco, Tracee 등 기존 eBPF 기반 보안 도구의 과도한 DaemonSet 배포 및 복잡한 YAML 정책 설정으로 인한 오버헤드 발생. 전역 모니터링 방식에 따른 방대한 JSON 로그 생성으로 실시간 침해 사고 대응 시 Signal-to-Noise Ratio 저하 문제 직면.

Technical Solution

• ptrace 기반 strace의 탐지 가능성을 회피하기 위한 eBPF kprobes 및 tracepoints 도입
• 전체 호스트 모니터링 대신 특정 PID 트리만 평가하는 Kernel-level filtering 설계
• 별도의 에이전트나 정책 설정 없이 실행 파일에 직접 바인딩하는 Tactical Sniper 구조 채택
• 정적 컴파일된 단일 바이너리 형태로 배포 복잡성을 제거한 Zero-dependency 아키텍처 구현
• 네트워크 연결, 파일 I/O, Privilege Escalation 이벤트를 실시간 타임라인으로 시각화하는 추적 로직 적용