BPF安全监控：能力、配置与策略实践

安全任务分类与 BPF 能力概述

安全任务涵盖广泛，包括安全分析、实时取证嗅探、权限调试、可执行文件白名单、恶意软件逆向、监控、自定义审计、基于主机的入侵检测、基于容器的入侵检测、策略执行、网络防火墙等。BPF 在这些领域都能发挥作用，尤其擅长回答以下安全问题：

• 哪些进程正在被执行？
• 正在建立哪些网络连接？由哪个进程发起？
• 进程请求了哪些系统特权？
• 系统上发生了哪些权限拒绝错误？
• 内核/用户函数是否正在用特定参数执行（用于检查活跃的漏洞利用）？

BPF 安全监控目标

BPF 追踪可以监控的目标非常丰富，包括进程、网络、文件、权限、系统调用等。通过 tracepoints、USDT、kprobes、uprobes 等探针，可以观测几乎任何内核或用户级函数。这使得 BPF 特别适合零日漏洞检测和自定义安全监控。

零日漏洞检测实践

在漏洞披露的当天（day zero）检测其是否被利用至关重要。bpftrace 因其易编程的语言，可以快速创建自定义工具。例如，针对某 Docker 漏洞（涉及 renameat2 系统调用与 RENAME_EXCHANGE 标志），可以用以下 bpftrace 一行命令检测：

bpftrace-e