Tetragon
eBPF-решение из набора Cilium для runtime-безопасности и наблюдаемости: Isovalent (в 2024 году куплена Cisco), 2022. В отличие от Falco, умеет не только сигнализировать, но и блокировать события.
Обнаруживает и предотвращает запуск процессов, доступ к файлам и сетевые соединения. Что отслеживать и какое действие применять (allow/deny/audit), описывает CRD TracingPolicy. Фильтрация идёт в ядре, накладные расходы малы. Вместе с сетью Cilium образует платформу целиком на eBPF. После покупки Cisco Tetragon вошёл в продукт Cisco Hypershield.
Растёт там, где уже используют Cilium. От классического EDR отличается тем, что работает в ядре и понимает Kubernetes, без раздутого агента.