eBPF 运行时容器安全与可观测性实战：从 Syscall 追踪到零侵入威胁检测

在云原生时代，容器的短生命周期和共享内核模型让传统安全工具捉襟见肘。eBPF 的出现让我们能够在内核空间实现低开销、零侵入的运行时安全监控——不需要改内核、不需要装代理、不需要改应用代码。本文将深入剖析 eBPF 在容器安全领域的核心原理和工程实战。

一、为什么传统方案在容器安全上失效

容器安全面临的根本挑战可以归结为三点：

共享内核风险：容器共享宿主机内核，一次内核漏洞利用就可能穿透所有容器的边界。传统的 VM 隔离靠硬件边界（VMEXIT），而容器的隔离完全依赖内核的软件机制（Namespace、Cgroups、Capabilities、Seccomp）。

短生命周期：容器的平均存活时间从几秒到几小时不等。传统 HIDS（主机入侵检测系统）依赖安装 Agent、加载内核模块、修改配置文件——等你装好 Agent，容器已经销毁了。

镜像不可变：生产环境容器通常是只读根文件系统，你甚至无法在容器内安装监控 Agent。

这三点决定了我们需要的方案必须满足：

1. 运行在内核层（不受容器边界限制）
2. 零侵入（不需要改容器镜像）
3. 低开销（不能拖慢业务）

eBPF 恰好同时满足这三个条件。

---

二、eBPF 核心能力与安全场景映射

2.1 可编程的内核探针体系

eBPF 提供了多种挂载点，对应不同的安全观测需求：

eBPF 挂载点	安全用途	性能开销
tracepoint / kprobe	监控系统调用、内核函数	低-中
uprobe / uretprobe	监控用户态函数（Go runtime、JVM）	中
XDP	网络层 DDoS 检测、包过滤	极低
LSM BPF	强制访问控制、权限拦截	低
cgroup BPF	设备访问、套接字绑定控制	低
sockops / cgroup sock	网络策略、连接监控	低

2.2 容器安全的六大场景

场景一：系统调用异常检测

检测容器内的异常 syscalls——如容器内突然出现 execve 提权调用、ptrace 进程附加、insmod 加载内核模块等。

场景二：文件完整性监控

监控敏感路径的读写字节 /etc/passwd、/proc/self/exe、/root/.ssh/ 等，不需要 auditd 的高开销日志。

场景三：网络连接监控

记录容器的所有外连请求，无需在容器内抓包。结合 DNS 解析和 IP 归属分析 C2 通信。

场景四：进程树溯源

从容器的第一个进程（PID 1）开始追踪完整的进程树，识别异常的子进程 fork 链。

场景五：特权提升检测

监控 setuid、setcap、unshare 等特权操作，结合 Namespace 逃逸检测。

场景六：运行时性能剖析

当容器被挖矿或遭受 DDoS 时，通过 eBPF 的 CPU profile 和 off-CPU 分析定位异常进程。

---

三、实战：编写一个最小化的容器安全 eBPF 探针

3.1 环境准备

# 安装依赖
sudo apt install -y libbpf-dev clang llvm linux-headers-$(uname -r) \
  linux-tools-$(uname -r) bpftool

# 验证 BPF 功能
sudo bpftool feature probe kernel

3.2 BPF C 代码：监控容器内提权进程

下面的 eBPF 程序挂载在 sched_process_exec tracepoint 上，追踪所有 execve 调用的进程，提取容器 ID、UID、命令行参数，输出到 ring buffer。

// exec_monitor.bpf.c
#include "vmlinux.h"
#include