можно еще записывать события

стандартным сисдигом

и исследовать потом

по аналогии с tcpdump/wireshark

Можно в том числе делать мониторинг с тчоки зрения безопасности - например написать правило что выдать ворнинг если кто-то открыл соединение не на дозволенные IP

или кто-то запустил баш

На вопрос про Overhead они решили показать свою собственную метрику :)

на контейнере 0.1% CPU usage

здесь в примере - 1.44% на dragent

их

Агент написан на Сях

и стараются оптимизировать под скорость

для отправки данных - компрессия, поэтому 10-50 кб в секунду в среднем

но зависит от нагрузки

Модуль ядра тоже старается быть быстрым и делать только то что нужно

На стороне юзерспейса агент подбирает фильтры чтобы снизить оверхед