eBPF

BpfJailer：基于 eBPF LSM 的 Linux 强制访问控制与进程隔离工具

facebookincubator/bpfjailer · eBPF LSM based Mandatory Access Control and jailer

BpfJailer 是 Facebook Incubator 开源的 Linux 强制访问控制（MAC）项目，使用 eBPF LSM 程序将进程放入称为 pod 的隔离单元，每个 pod 绑定 TOML 策略中定义的角色，并在 fork 与 exec 时继承。策略可覆盖签名二进制校验（fs-verity 与证书）、kill/ptrace、bpf 对象访问、keyring、文件系统路径读写、可执行代码、内核模块与 kexec 加载、IPC（System V/POSIX 消息队列与共享内存）、Unix socket 与挂载点等控制面。项目提供 bpfjctl、bpfjcmd、bpfjsrv、bpfjclient、bpfjlog 等组件，支持运行时策略热替换（replace）与拒绝/生命周期事件日志。该实现是内部闭源 BpfJailer 的完整重写，官方标注为完全实验性。

AWS Lambda 如何用 eBPF 和 Rust 在每台主机上记录数千个 microVM 的每一次流量

AWS Lambda 需要为每个租户工作负载保留完整且正确归属的网络流日志，用于调查、审计和计量。旧的基于 iptables 和内核模块的方案在 Lambda 高密度下出现规则爆炸，且不支持 IPv6，因此被替换为 eBPF 加 Rust 的新管线：eBPF 程序挂在每个 microVM 网络的 tc 钩子上采集包事件，经环形缓冲区由 Rust 用户态 tagger 生成 Ion 记录，再送入原有计费与流日志管线。