19、eBPF 在安全与编程领域的应用

eBPF 在安全与编程领域的应用

1. eBPF 在安全领域的应用

1.1 LSM 钩子示例

以下是一个附加到 LSM 钩子的简单 eBPF 程序示例，它在处理 chmod 命令时被调用（ chmod 即“change modes”，主要用于更改文件的访问权限）：

SEC("lsm/path_chmod")
int BPF_PROG(path_chmod, const struct path *path, umode_t mode)
{
   bpf_printk("Change mode of file name %s\n", path->dentry->d_iname);
   return 0;
}

此示例仅追踪文件名并始终返回 0。在实际应用中，可以利用参数来决定是否允许模式更改。返回非零值将拒绝更改权限，内核不会继续执行。这种在内核中进行策略检查的方式性能很高。 BPF_PROG() 的 path 参数是表示文件的内核数据结构， mode 参数是期望的新模式值，可通过 path->dentry->d_iname 查看被访问文件的名称。

1.2 Cilium Tetragon

Tetragon 是 Cilium 项目（也是 CNCF 的一部分）的一部分。它不依赖 LSM API 钩子，而是构建了一个将 eBPF 程序附加到 Linux