Seguridad con eBPF
Usar eBPF para monitorización y aplicación de seguridad. Tetragon, Falco, políticas de red de Cilium, BPF-LSM. Alternativa moderna a los módulos de kernel tradicionales (KSM), que exigían binarios firmados y eran difíciles de desplegar.
eBPF-LSM (Linux Security Module vía eBPF, kernel 5.7+): permite escribir políticas LSM en eBPF, cargadas dinámicamente, sin recompilar el kernel. Casos de uso: seguridad en tiempo de ejecución de contenedores, filtrado de syscalls (mejor que seccomp para políticas complejas), aplicación de políticas de red. Proveedores modernos de seguridad: CrowdStrike, SentinelOne, Wiz, Sysdig — todos usan eBPF para obtener visibilidad del kernel. El verificador de eBPF garantiza que el kernel no se caiga. Sobrecarga de rendimiento: típicamente 1-5 %. Se diferencia del EDR tradicional: nativo del kernel, sin agentes pesados, consciente de los contenedores. La dirección por defecto de la seguridad moderna en Linux.