使用eBPF对Container容器的安全设计方案

Linux内核观测技术BPF

本文为主题分享《Linux Tracing System浅析 & eBPF框架开发分享》的会议整理和补充，此为PPT版本。 主稿人：许庆伟， Linux Kernel Security Researcher & Performance Developer 主讲人：杨润青，博士毕业于浙江大学，目前从事网络安全研究，研究方向包括高级威胁检测，攻击溯源与响应。 视频地址：https://www.bilibili.com/video/BV17t4y1x7kV?spm_id_from=333.999.0.0 文章地址：https://blog.csdn.net/weixin_72742917/article/details/125855606?spm=1001.2014.3001.5501

内核运行时安全新机制，LSM + eBPF内核安全的新方向

互联网服务常常需要预防DDoS攻击，希望尽早丢弃攻击流量减少服务器资源的浪费。从概念上分析，防火墙是抵御DDoS的有效手段，但是实际基于NetFilter的IpTables并不能解决该问题，因为其处理报文的位置已分配SKB，大量无效SKB会耗尽内存资源，拖垮服务器。但基于eBPF/XDP实现的防火墙能够更早处理攻击流量而不消耗CPU和内存资源，更高效，更安全。

连接跟踪(conntrack)是网络应用非常非常的基础，比如有状态防火墙 (firewall)，网络地址转换(nat),负载均衡(lb)。Linux conntrack 是 基于 netfilter 实现的，如图所示，分别在 PREROUTING, POSTROUTING 位置前 和后对网络报文进行跟踪;但是 XDP 位置在进入网络栈之前，无法利用到内核栈的 conntrack 能力， Cilium 应该遇到同样的问题， 所以 Cilium 基于 eBPF 实现了 conntrack；换句话说，只要具备 Hook 能力，能拦截进出主机的每个报文，完全可以实 现一套连接跟踪功能， 这个该项目的核心思路。 购买文档，免费给源代码！！ 购买文档，免费给源代码！！ 购买文档，免费给源代码！！

传统网络转发路径是从L2L3，查询路由表然后转发，中间解析报文且分配SKB。 XDP转发路径可以下沉L2, 解析报文再封装，无SKB分配，高效且快速。 购买设计文档免费送源码, 免费咨询

Xpress DNS-实验XDP DNS服务器 关于 Xpress DNS是用BPF编写的实验性DNS服务器，用于高吞吐量，低延迟的DNS响应。 它使用在Linux网络路径的早期处理数据包。 提供了一个用户空间应用程序，用于将DNS记录添加到BPF映射中，该映射由XDP模块从内核中读取。 不匹配的DNS请求将传递到Linux网络堆栈。 用例 Xpress DNS可以用作对静态DNS记录的常见DNS请求的高性能DNS代理。 通过在Linux网络堆栈处理数据包之前响应DNS请求，可以减轻系统和用户空间中DNS服务器的负载。 特点与局限性 目前支持A记录 仅支持基于UDP的纯DNS（端口53） 基本的EDNS实施 目前仅响应单个查询 没有递归查找 要求 需要5.8或更高版本的内核，因为此程序使用bpf_xdp_adjust_tail调用来扩展数据包大小。 参见 ，合并于5.8。 iprout

Hidden Linux Metrics with Prometheus eBPF Exporter

BPF (eBPF) tracing is a superpower that can analyze everything, and I'll show you how in my upcoming book BPF Performance Tools: Linux System and Application Observability, coming soon from Addison Wesley. The book includes over 150 BPF observability tools that you can run to find performance wins and troubleshoot software, and also shows you how to write your own.