依赖 eBPF 进行安全监控的陷阱（及一些解决方案）

摘要

Trail of Bits 指出 eBPF 本质是网络与调试工具而非为安全监控而生，用于 Linux 安全监控存在六大陷阱：探针未触发、数据因空间受限被截断、指令数上限、TOCTOU 竞态、事件洪泛与缺页，并逐一给出缓解方案，但部分局限属平台固有。