МЕЖУРОВНЕВАЯ КОРРЕЛЯЦИЯ ЖУРНАЛОВ LINUX И EBPF-ТЕЛЕМЕТРИИ ПРИ ЛОКАЛИЗАЦИИ ПЕРВОПРИЧИН ОТКАЗОВ

Аннотация

Исследовать межуровневую корреляцию журналов и телеметрии расширенного фильтра пакетов eBPF для локализации первопричин отказов Linux-систем. Методы. Канонические события связывались по устойчивой идентичности процессов и сокетов; причинные кандидаты ранжировались после проверки совместимости свидетельств с механизмом отказа. Проведены четыре эксперимента: пассивное наблюдение, углублённая трассировка, внесение трёх известных отказов и проверка четырёх ранее не использовавшихся механизмов. Результаты. Рост объёма телеметрии не гарантировал улучшения диагностики. На известных механизмах фильтрация повысила долю правильных первых ответов с 0,667 до 1,000. На 20 окнах новых отказов модели E-R и F0 дали одинаковую точность локализации домена и покрытие правильной причины: 9/20=0,450. Число кандидатов сократилось с 4035 до 19. Заключение. Наблюдаемое преимущество состоит в сокращении пространства поиска при неизменном покрытии в данной выборке. Результат не доказывает безопасность фильтра вне эксперимента. Метод применим как слой корреляции диагностических свидетельств для разбора инцидентов, но не как самостоятельный детектор атак.