eBPF 最初是为 Linux 开发的，目前仍然是该技术领域最成熟和广泛应用的平台。...这个基金会的成立凸显了这些科技巨头对 eBPF 的重视，并将进一步促进 eBPF 在各个领域的应用和创新。...越来越多的企业和组织意识到 eBPF 的潜力，并将其纳入他们的技术栈和生产环境中。这些公司来自各个行业，包括云计算、网络安全、性能监控、数据分析和分布式系统等领域。...然而，eBPF 的出现解决了这个问题，并提供了一种安全有效的机制来在内核中附加和运行程序。 — 03 — eBPF 可观测性是如何工作的呢？...Uprobes 提供了强大的调试、分析和跟踪用户空间应用程序的能力。它们允许开发人员在不修改原始应用程序的情况下动态地对代码进行检测，从而实现各种运行时分析和监控技术。
eBPF eBPF（extended Berkeley Packet Filter）是一个内核技术，可以在不需要重新编译内核的情况下，通过一种安全的、可编程的方式扩展内核的功能。...不过，eBPF 程序终究还是运行在内核态，应用层进行网络报文传输时还是避免不了内核态和用户态的上下文切换开销。对于可以完全运行在内核态的应用，如安全检测、负载均衡等场景则可以避免这个开销。...如果以上检查后发现还是满足不了要求，网络传输依旧是瓶颈，就可以考虑使用针对内核态协议栈的性能优化技术。那么 eBPF/ 用户态协议栈 /RDMA 技术我们如何来选择呢？...本文介绍几种内核协议栈的优化技术、相关的应用场景以及实际的优化案例，供大家参考。 作者简介： 汪翰林，网易数帆高级技术专家，云网络数据面负责人。...近 20 年软件架构、设计和研发经验，曾就职于华三和华为，主持多个安全、视频监控、大数据和云计算等技术领域的产品设计和研发工作。
图1 eBPF架构图 1.2 eBPF有哪些应用场景？ 由于eBPF具备从用户态到内核级史无前例的深度覆盖能力，不难想象，其应用领域也将是颠覆性的。...关于这方面，官方也大致给出了如图2所示的4类应用场景[2]： 图2 eBPF应用场景 1.2.1 安全防护 如利用系统调用过滤并且结合网络过滤阻断恶意的调用动作或者丢弃恶意和非预期的流量，这个正好是检测或防护类产品的本质操作...看到此处，笔者不禁联想到此技术在集群安全取证产品上也会有无限的发挥空间。...图5 某横向移动可视化 Tetragon借助eBPF技术可以做到对网络、运行时、敏感文件以及云原生生态链组件信息等进行检测，这充分体现了eBPF的强大之处，但正因为如此，应用eBPF技术到攻击面将是更加可怕的...美团信息安全团队.Linux中基于eBPF的恶意利用与检测机制 6.
这项技术通过创建安全的Hook钩子探针来监测内部函数和获取重要数据，从而支持对应用程序的运行时做监测和分析。...Tracee是用于Linux的运行时安全和取证的开源项目，它基于eBPF实现，所以在安全监测方面效果更加优化。...eBPF: 不只是用来跟踪 eBPF是一种Linux内核技术，它允许在不更改内核源代码或添加新模块的前提下，在Linux内核中运行沙盒程序。...因此，eBPF可以支持安全的Hook到事件上，而不会造成内核崩溃的风险。...使用Tracee检测Syscall钩子 现在，我们已经了解了恶意软件如何以及为什么以内核函数为目标，以及如何检测被钩住的内核函数，接下需要知道如何使用eBPF来提取函数的地址。
在中文社区里，包括阿里巴巴、网易、字节跳动等国内第一梯队IT公司也越来越关注BPF这项新技术。本文主要介绍BPF技术发展和应用，以及我是如何学习BPF技术的。 内容大纲 ?...持续交付，在越来越多应用进入到云原生时代的今天，持续交付这个命题，一点都不陌生，而在内核开发领域，这点也至关重要，每次功能的升级，都需要你重新安装新的系统，大多数人都不会买账。...举个例子，拿一个处理网络数据包的应用程序来说，在每秒都要处理几十万个数据包的情况下，在一个数据包和下一个数据包之间，加载到网络系统调用hook上的BPF程序是可以自动替换的，可以预见到的结果是，上一个数据包是旧版本的程序在处理...Cilium如何通过eBPF程序实现请求转发的原理分析： Cilium通过将eBPF程序加载到内核的几个网络Hook上，包括TC，XDP，实现了原来Kube-Proxy请求转发的能力。...Falco如何使用eBPF程序实现实时应用监控： Falco主要使用了raw_tracepoint的系统调用hook，检测应用进程的启动和退出，然后通过Perf类型的BPF Map将检测到的数据发送回用户空间
作者 | 许庆伟 策划 | 凌敏 随着 eBPF 技术在各种行业领域上的使用和普及，人们在享受着技术变革红利的同时，也遭受着无孔不入的恶意攻击。...云原生的基础设施包含 CPU 硬件、指令集、操作系统等，增强操作系统的高性能和安全性，也是目前 eBPF 技术正在深入的领域。...所以，eBPF 自身的安全能力，也是检验该项技术是否有可持续发展的重要指标。 2 eBPF 的“恶魔面孔”：黑客是如何利用 eBPF 进行攻击的？...随着不断地地分析并认识到了如何识别和检测 eBPF 的恶意滥用，未来我将更深入地了解此类利用的原理、行为方式以及检测它的最佳方式，后续研究分析将持续分享。...作者介绍： 许庆伟，龙蜥社区 eBPF 技术探索 SIG 组 Maintainer 高级内核技术专家，对 Linux 内核优化、系统稳定性领域有深入研究。
国内外发展和落地情况如何？如何预防和处理 eBPF 带来的安全问题？...• 安全：它可以限制程序执行的内存和 CPU 资源，防止恶意程序占用系统资源或对系统造成危害。 • 功能丰富：支持网络数据包过滤、路由、负载均衡、跟踪、性能分析等，这使得它能够在很多领域得到应用。...陈莉君教授：eBPF 在 Linux 中有多项改变，如提高内核灵活性，可以在不需要重新编译内核的情况下实现系统功能的快速修改和扩展；改善安全性，eBPF 应用可以进行精确的安全检查，从而提供更好的内核安全性...• 将 eBPF 与其他技术（如微服务）集成，以便在复杂的应用场景中获得更佳的效果，在可观测领域有更多工具和平台涌现。 • 实现更加高效和简洁的 eBPF 编译器，不需要安装太多的依赖库。...• 云原生和可观测技术兴起：云原生技术的发展对 Linux 内核技术和 eBPF 技术具有很大的推动作用，基于 eBPF 的无侵入机制应用在可观测领域，具有非常大的想象空间。
一、eBPF 1.1简介 eBPF是一项革命性的技术，可以在操作系统内核中运行沙盒程序。它用于安全有效地扩展内核的功能，而无需更改内核源代码或加载内核模块。...eBPF程序是事件驱动的，当内核或应用程序通过某个hook时运行。...图1展示了eBPF在hook系统调用时程序调用的实际以及如何获取系统的数据。...在国内，各家云厂商也开始采用eBPF技术来优化系统设计。下面我们将以Falco为例，展示下eBPF是如何实现安全监控的能力的。...本文以Falco为例，分析了eBPF在安全监控领域的使用方式。
随着云原生生态领域的逐渐完善，云操作系统，例如：Kubernetes ，正在吞噬着整个容器世界，越来越多的厂商在匆忙地布局着基于云操作系统的相关平台，以便尽可能在有限的时间及空间内获得一杯羹，而此时，在另一端...然而，随着业务场景的创新化，基于传统的技术或多或少在某种特定的场景下开始显得很鸡肋，已经开始无法支撑新的需求，于是，新的技术就应运而生，开始尝试解决这一业务痛点。...具体方式是修改它访 问的配置数据或应用数据，例如黑名单里规定的 IP 列表和域名。...下面我们再来看下 Cilium 是如何基于 eBPF 实现容器网络方案的，首先，我们了解下其流程图，具体如下所示： 基于上述 Cilium eBPF 流程图，简要解析如下：...例如，如果包的目的端是另一台主机上的 Service Endpoint，那你可以直接在 XDP 框中完成包的重定向（收包 1->2，在步骤 2 中对包 进行修改，再通过 2->1 发送出去），将其发送出去
例如，如果包的目的端是另一台主机上的 service endpoint，那你可以直接在 XDP 框中完成包的重定向（收包 1->2，在步骤 2 中对包 进行修改，再通过 2->1 发送出去），将其发送出去...” 7 eBPF 年鉴 eBPF 是如何诞生的呢？我最初开始讲起。这里“最初”我指的是 2013 年之前。 2013 前浪工具和子系统 回顾一下当时的 “SDN” 蓝图。...有了 kTLS，就可以用 eBPF 查看数据和状态，在内核应用安全策略。 目前 openssl 已经完全原生支持这个功能。...第一次 bpfconf：受邀请才能参加的 BPF 内核专家会议 如题，这是 BPF 内核专家交换想法和讨论问题的会议。与 Linux Plumbers 会议互补。...2019 ~ 2020 不知疲倦的增长和 eBPF 的第三个方向：Linux security modules Google 贡献了 BPF LSM（安全），部署在了他们的数据中心服务器上。
如何评价国产操作系统的 2022？ 对于国产操作系统在 2022 年的整体发展，受访专家均给出了积极评价，关键词包括机遇、加速、合力等。...操作系统内核在没有应用 eBPF 技术以前，整个内核是静态的，编写内核时实现了什么功能，运行时也只有这些功能，最多可以做一些参数的调整，但无法带来更复杂的功能变化。...有受访专家表示：“在 2023 年，可能会涌现出更多的异构计算设备，操作系统要想更好地支持这些计算设备，需要解决很多技术难题，比如如何在不同的平台上运行软件。”...随着越来越多的开源软件在千行百业中得到广泛应用，安全问题日益凸显，供应链安全攻击和容器安全威胁问题日益严峻。如何构建安全可信的操作系统，是每个参与者需要长期思考的问题。...AI 近几年，AI 技术在操作系统领域诞生了诸多应用。
今天很高兴与大家分享 DeepFlow 在可观测性智能体方面所做的一些工作。今天的话题主要包括两个方面：如何使用 eBPF 解决数据质量的问题，如何在此基础上使用 LLM 构建高效率的智能体。...今天我分享的主要是后者，具体来说是如何利用 eBPF 这种创新的技术零侵扰获取全栈可观测性数据。...eBPF 技术是一种内核的可编程技术，下面这张图上的每个小蜜蜂都是 eBPF 可以 Hook 的函数位置。...我们在云主机上的任何一个进程，它的所有内部状态，我们都可以使用 eBPF 通过 Hook 业务函数、系统调用、内核函数、网络和磁盘驱动函数来进行感知。...eBPF 是内核技术，整个生态讨论的点聚焦在系统、性能、安全等方面；而应用关注业务语义，开发者希望获取的是业务、效率方面的信息。
eBPF实现了这一点，它在操作系统中运行沙箱程序，可以方便地在不重建内核或加载内核模块的同时，实现网络、安全、应用程序分析/跟踪和性能故障排除等功能。...因此，与在操作系统之外实现的功能相比，操作系统级别的创新率传统上较低。 Linux内核4的发布提供了一种新的方法，称为eBPF技术。...这也让业界对于这个新的开源项目十分感兴趣，这个新项目可以做些什么？当前的生态系统在eBPF开始向Windows发展的过程中又会如何演变？...eBPF 的应用与挑战 近年来，基于 eBPF 的项目数量呈爆炸式增长，eBPF 也被广泛用于驱动各种各样的用例：在现代数据中心和云原生环境中提供高性能网络和负载平衡，以低开销提取细粒度的安全可观察性数据...，帮助应用程序开发人员跟踪应用程序，为性能故障排除、预防性应用程序和容器运行时安全实施等提供见解。
基于 eBPF 实现的可观测性，可以无需修改内核源码或者加载内核模块，安全高效的扩展内核功能，很好的解决了上述问题。本文，将从网络的角度介绍如何基于 eBPF，实现容器级别的 TCP 连接监控。 ...基于 eBPF 实现的可观测性，可以无需修改内核源码或者加载内核模块，安全高效的扩展内核功能，很好的解决了上述问题。本文，将从网络的角度介绍如何基于 eBPF，实现容器级别的 TCP 连接监控。 ...二、eBPF 介绍eBPF 是一种在 Linux 内核运行沙箱程序的技术，在无需修改内核源码或者加载内核模块的情况下安全高效地扩展内核功能，可以看作是在内核的一些 hook point 上执行用户代码的一个虚拟机...由于其安全、高效、可编程，以及在速度和性能方面的优势，eBPF 在内核观测、追踪监控、应用性能调优、流量控制、性能统计、安全等领域发挥了重要的作用。...三、eBPF 工具在实际应用中的问题随着离、在线混部功能的大规模部署使用，实际应用中更多的业务是基于容器来进行资源的隔离与调度。
Linux平台的RootKit家族样本，说不定你的服务器上就被安装了这些RootKit家族样本，RootKit包含应用层和驱动层，应用层主要使用的技术就是二次打包修改、替换常用二进制文件、LD_PRELOAD...环境变量写入/etc/ld.so/preload、捆绑合并等方式，驱动层主要使用的syscall hook以及最近两三年比较流行的通过eBPF技术来实现文件，进程、网络的隐藏等。...最近几年随着云计算的发展，云原生安全似乎又成为了一个热点，同时eBPF技术的成熟与发展，又出现了一批基于eBPF技术的RootKit攻击技术，一些开源代码也被公布在了GitHub平台上面bad-bpf、...隐藏信道，随着eBPF技术的进一步发展与成熟，基于eBPF的后门可能会越来越多，目前已经有一些比较简单的检测eBPF木马的方法，例如使用bpf-hookdetect、Hades、ebpfkit-monitor...安全就是这样，有攻必有防，我们通过不断研究最新的攻击技术，攻击样本，然后找到相应的检测和防御技术，黑客组织为了获取更大的利益，也在不断研究各种最新的安全技术，然后开发出更高级更隐蔽的恶意软件攻击样本，安全研究人员只有不断的学习与进步
组织将对安全“相关性”有更明智的认识 eBPF在很大程度上归功于它独特的能力，不仅可以为漏洞和攻击检测提供可观测性，还可以识别和修复漏洞。...Rice强调，eBPF作为核心技术，支持创建工具“在事件检测的基础上构建，产生能够检测甚至防止恶意活动的基于eBPF的安全工具。”...Rice说:“我们可以将WebAssembly视为用户空间沙箱，将eBPF视为内核沙箱，每个都允许在各自领域进行自定义处理。”“因此，合理预期的是基础设施工具可能会结合两者的功能以互补的方式。...对eBPF将如何体现或人工智能将如何与eBPF集成进行推测纯属猜测。 与此同时，看看网络，特别是如何与eBPF结合使用，而不是仅仅依赖类似ChatGPT等LLM进行网络安全，这一点很有趣。...“进一步说，eBPF与LLM的集成可以允许LLM基于它们在系统级的影响来实施和评估安全策略”，Volk说。“这就是事情变得非常技术化的地方。”
eBPF可以在运行时即时编译，从而能够处理更加复杂和动态的数据包处理任务，如网络流量分析、安全检测和性能优化等。...如今，eBPF被广泛应用于驱动各种用例：在现代数据中心和云原生环境中提供高性能的网络和负载均衡，以低开销提取细粒度的安全可观测性数据，帮助应用开发人员追踪应用程序、提供性能故障排除的见解，进行预防性应用程序和容器运行时安全执行等等...可能性是无限的，eBPF正在释放出的创新力量才刚刚开始。 Hook Overview eBPF程序是事件驱动的，当内核或应用程序通过某个挂钩点时运行。...对于Linux4.1版本之后的监控 为了保证eBPF程序在各个linux内核版本之间的可移植性，我们编写eBPF程序的时候采用了CORE技术,CORE技术目前只有在 Linux 4.9.0 之后才会支持...由于eBPF的虚拟机技术提供了一种安全可隔离的方式来在内核中执行用户代码，因此kprobe和uprobe事件不会丢失。
本文将介绍 eBPF 的技术特点，及 eBPF 在网易杭研轻舟系统探测和网络性能优化方面的应用。 1....技术浅析—eBPF 好在哪里 eBPF 是 Linux Kernel 3.15 中引入的全新设计，将原先的 BPF 发展成一个指令集更复杂、应用范围更广的“内核虚拟机”。...eBPF 开发中遇到的问题： 一直都在陈述 eBPF 的优点，但是在开发具体监控功能的过程中，依然存在诸多限制，包括内核实现方面的限制也有 eBPF 自身的一些限制，需要开发者充分的考虑，例如在多核平台上如何保证对...sockops 的技术原理如下图所示，对于本地通信可以绕过 TCP/IP 协议栈将报文直接发给对端 socket，以此来提高性能。Sockops 组件技术原理如下图所示： ?...Sockops 数据面对轻舟服务网格场景的适配： 如果一个报文的 key（主要是四元组）在 sockmap 中被命中，那么该报文将绕过 TCP/IP 协议栈，而被直接发送给接收端的 socket，接收端的
在这篇文章里，作者描述了他们在Unix Kernel里是如何利用BPF来过滤网络包的，他们的实现比当时主流的方法快20倍。...可以用它来实现seccomp、观测、安全控制、网络流量控制、网路安全、负载均衡、行为监控等各式各样的功能。 通过Map，可以与User space的进程通信。...这表示应用程序可以在网络包流经路径上插入各种eBPF prog以便来抓取数据包的信息并对特定的网络包进行各种操作。...图4：eBPF 在data path上可以hook的各个关键节点示意图（重点是右侧部分，暂时忽略左侧） 图4右侧部分，从下往上可供hook的eBPF类型至少有如下几种： XDP tc socket filter...图中eBPF prog hook在与Pod相连的veth上，它包括3大主要的子program：main prog, policy prog和 epilogue prog。
eBPF 技术带来的内核可编程能力，可以在原有漫长转发路径上，制造一些“虫洞”，让报文快速到达目的地。...我们接下来看一下，如何用 eBPF 跳过非必须的流程，加速网络转发。...接下来我们看，如何利用 redirect peer 技术来优化这个流程。...目前 eBPF 技术在开源社区非常流行，在 tracing、安全、网络等领域有广泛应用，我们可以利用这项技术做很多有意思的事情。感兴趣的朋友可以加入我们，一起讨论交流。...作者简介 王栋栋，字节跳动系统技术与工程团队内核工程师，10 年系统工程师工作经验，关注 Linux networking、eBPF 等领域。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
