eBPF 安全分发：内核 6.18 证书签名机制实测
eBPF 让我们不改内核、不装模块就能往内核里放代码，但决定谁能放的，一直只是"你是不是 root"，而不是"代码是谁构建的、有没有被改过"。内核模块十多年前就有签名机制，eBPF 一直缺这一环。
2026 2 篇
ActPlane：把 Agent Harness Enforcement 下沉到内核 eBPF
你在 CLAUDE.md 里写了一条规则："不要执行 git push"。Agent 遵守了，它确实没有调用 git 工具。但它写了一个 Python 脚本，脚本里调了 subprocess.run(["git", "push"])，代码推 …
2025 1 篇
Linux 内核中的 eBPF 之旅：可观测性、安全性与网络
如你构建系统或运维集群时，频繁遇到代理 (agent)、iptables 或内核模块的各种限制，那么 eBPF 正是你一直在寻找的更安全、更快、更具动态性的技术选择。eBPF 允许你在 Linux 内核中运行小型且经安全验证的程序，实现运 …
2024 5 篇
使用 eBPF 追踪进程 capabilities 变化
当想要追踪进程的权能是如何变化，如何传递的时候，传统工具几乎没有办法做到。已知权能的修改一定是通过系统调用触发的，无论是 execve 执行别的程序，还是 setuid 切换用户的时候，毕竟 linux 中应用层与内核的交互几乎都是系统调 …
BPF 调度器 sched_ext 实现机制、调度流程及样例
本篇博文会重点介绍 sched_ext 的实现原理，sched_ext 是一个由 Meta 和 Google 共同联合推出的可扩展调度器类，称之为 ext_sched_class 或 sched_ext，这种机制允许用户通过定义的 BPF …
Linus 强势拍板 6.11 合入: BPF 赋能调度器终成正果
在 2004 年，Linux 社区的 Con Kolivas 提出了可插拔式调度器的想法，旨在让内核中存在多个调度器，用户可在引导时选择。然而，该想法遭到了强烈反对，认为会导致调度器的碎片化。在 2021 年，Facebook …
BPF 程序与信号交互大揭秘
在本文中，我们将探讨在 eBPF 程序内部触发信号的语义。此外，我们还将确定和观察在处理这些信号背后我的影响。
LSM BPF 实践
本文介绍了安全的整体背景知识 CIA、安全 LSM 框架、LSM 钩子函数实现，最终基于LSM BPF原理并给出了源码实现
2021 6 篇
【BPF 攻防系列-2】【译】恶意使用的 bpftrace 🤯
本篇文章是我正在进行的关于 BPF 攻防系列的一部分，用于学习 BPF 以了解相关的攻击和防御，并通过 bpftrace 工具提供了一个基于源 IP 地址和端口触发的恶意程序
【BPF 攻防系列-1】【译】开战！！！
在近几年来，eBPF 在 Linux 社区和之外得到了越来越多的关注。eBPF 在攻击场景中的使用也逐渐引起大家的关注。因此，我决定从红队的角度进入深入探讨，以让大家对此有个整体的认识，以下系列文章则是对于这个历程的分享。
当 BPF 邂逅 CPU 调度器
来自 Facebook 的 Roman Gushchin 提交的一个内核 patch 将 BPF 程序引入到了内核调度器模块，根据 Facebook 内部的测试表明主要网络负载的延迟得到了改善且 RPS 有 1% 左右的提升，虽然这个机制 …
深入浅出 eBPF 安全项目 Tracee
Tracee 是一个用于 Linux 的运行时安全和取证工具。它使用 Linux eBPF 技术在运行时跟踪系统和应用程序，并分析收集的事件以检测可疑的行为模式。Tracee 以 Docker 镜像的形式交付，监控操作系统并根据预定义的行为 …
初识容器安全项目 Falco
本文通过对于为什么使用 Falco；Falco 是什么样的项目以及 Falco 实现了那些功能，最后对于 Flaco 的相关功能进行测试
【BPF入门系列-5】基于 eBPF 实现容器运行时安全
本文作者： 范彬 1 前言 随着容器技术的发展，越来越多业务甚至核心业务开始采用这一轻量级虚拟化方案。作为一项依然处于发展阶段的新技术，容器的安全性在不断提高，也在不断地受到挑战。天翼云云容器引擎于去年11月底上线，目前已经在22个自研资源 …