eBPF 容器运行时安全：逃逸检测、异常行为分析与深度防御实战

引言：为什么容器安全需要 eBPF？

传统容器安全方案依赖内核模块、用户态轮询或 Sidecar 代理，存在性能开销大、维护成本高、可观测性有限等问题。eBPF 的出现彻底改变了安全领域的游戏规则——它允许在 Linux 内核中安全地运行沙箱程序，无需修改内核代码或加载内核模块，实现了真正的零侵入式安全监控。

云原生时代，容器生命周期短暂、攻击面动态变化，传统基于边界的防御已力不从心。eBPF 提供了从系统调用、网络流量、文件操作到应用行为的全栈可观测性，将安全视角从"围栏外"深入到"运行时内"，为容器安全带来了前所未有的精细粒度。

第一部分：eBPF 安全监控的技术基石

1.1 Hook Point 选择策略

eBPF 提供了丰富的 Hook 点用于安全监控，理解各自特点是设计安全方案的基础：

1.2 BPF-LSM：内核级强制访问控制

Linux 5.7 引入的 BPF-LSM 接口彻底改变了安全策略的实施方式。通过将 eBPF 程序挂载到 LSM（Linux Security Module）挂钩点，可以在内核层面实现动态的访问控制策略，而无需重新编译内核：

// BPF-LSM 挂载示例：限制容器内 mount 操作
SEC("lsm/file_receive")
int BPF_PROGRAM(detect_untrusted_mount, struct file *file) {
    u32 pid = bpf_get_current_pid_tgid() >> 32;
    struct task_struct *task = (struct task_struct *)bpf_get_current_task();
    
    // 检查是否来自容器命名空间
    if (!is_container_process(task))
        return 0;
    
    // 记录非预期的 mount 行为
    struct event *e = bpf_ringbuf_reserve(