Безопасность на основе eBPF
Использование eBPF для мониторинга и принудительного применения политик безопасности: Tetragon, Falco, сетевые политики Cilium, BPF-LSM. Современная замена модулям ядра, которые требовали подписи и были неудобны в развёртывании.
eBPF-LSM (Linux Security Module на eBPF, ядро 5.7+) позволяет писать политики LSM на eBPF и загружать их динамически, без пересборки ядра. Применения: защита контейнеров в рантайме, фильтрация системных вызовов (для сложных политик лучше seccomp), принудительное исполнение сетевых политик. CrowdStrike, SentinelOne, Wiz и Sysdig используют eBPF для видимости на уровне ядра. Верификатор eBPF гарантирует, что ядро не упадёт; накладные расходы обычно 1–5 %. От классических EDR отличается тем, что работает в ядре, без тяжёлого агента, и понимает контейнеры. Основное направление безопасности современного Linux.