eBPFセキュリティ
eBPFをセキュリティの監視と強制に使う手法。Tetragon、Falco、Ciliumのネットワークポリシー、BPF-LSMなどがある。署名付きバイナリが必要で導入しにくかった従来のカーネルモジュールに代わる、現代的な選択肢だ。
eBPF-LSM（eBPF経由のLinux Security Module、カーネル5.7以降）では、LSMポリシーをeBPFで書き、カーネルを再コンパイルせずに動的にロードできる。用途は、コンテナのランタイムセキュリティ、複雑なポリシーに向いたシステムコールのフィルタリング（seccompより優れる）、ネットワークポリシーの強制だ。CrowdStrike、SentinelOne、Wiz、Sysdigといった現代のセキュリティベンダーは、いずれもカーネルの可視化にeBPFを使っている。
eBPFの検証器（verifier）がカーネルのクラッシュを防ぎ、性能への影響は通常1〜5%。従来のEDRとの違いは、カーネルネイティブで、肥大化したエージェントが要らず、コンテナを理解する点だ。現代のLinuxセキュリティの既定路線になりつつある。