拡張バークレーパケットフィルタ（eBPF）は、開発者がカーネルソースコードを変更することなくLinuxカーネル内でサンドボックス化されたプログラムを実行できる強力な技術です。本ガイドでは、eBPFのネットワーク、セキュリティ、パフォーマンス監視における応用例を探ります。
eBPFの利点と、現代システムにおける可観測性と制御性の向上について学びましょう。ネットワークセキュリティでその能力を活用するには、eBPFの理解が不可欠です。
BPF の簡単な歴史
Berkeley Packet Filters (BPF) は 1992 年に、ネットワークトラフィックを分析およびフィルタリングするために設計されました。当時、インターネットはまだ発展途上にあり、エンジニアたちはネットワークを流れるトラフィックをより深く理解する方法を模索していました。BPFは、組織内の全サーバーのコードを変更したり、カーネルコードを分岐させて計測用命令を追加したりすることなく、これを実現する手段を提供するために設計されました。
ネットワーク分析に応用されたBPFは、サーバー上のすべての送受信TCP通信をログ記録するために使用されました。この手法は全サーバーのコード変更よりも労力は少なかったものの、コードを構築し組織内の全サーバーに展開するには依然として多大な労力が必要でした。
BPFはネットワークトラフィックのフィルタリングにも使用されました。ただし、ヘッダーに署名付きハッシュを持つパケットのみを受け入れることができた。着信パケットが到着すると、BPFプログラムが起動し、ヘッダーをチェックして期待値が存在するかどうかを確認した。結果に応じて、パケットは受け入れられるか、破棄された。
今日、BPFはネットワークトラフィックの分析やフィルタリングだけでなく、様々な目的で使用されている。より多くの機能を提供し、64 バイトをサポートするように拡張され、より多くの情報の収集と保存が可能になりました。
その後、カーネル 3.18 のリリースに伴い、拡張バークレーパケットフィルタ (eBPF) が、ほぼすべてのカーネルイベントを登録するために作成されました。オリジナルのBPFを拡張したeBPFは、より多くのデータを保存・交換でき、カーネル機能の監視、トレース、最適化など様々な目的に使用できます。
eBPFの導入
歴史的に見て、開発者は常にオペレーティングシステム内でネットワーク機能の実装と監視を行ってきました。これはカーネルが持つ特権的な能力、すなわちシステム全体を監視・制御する能力を利用するためです。オペレーティングシステムカーネルの限界は、その進化の欠如にありました——OSレベルでの革新は、外部で実現される能力に比べて低い水準に留まっていたのです。さらに、モジュール追加やカーネルソースコードの修正には、抽象化されたレイヤーや複雑なインフラストラクチャを苦労して踏破する必要があり、デバッグが困難でした。2014年にeBPFが初めて導入された際、これらの課題はすべて解決されました。
eBPFはサンドボックス化されたプログラムをOS内で実行可能にするため、開発者は突然、実行時にOSへ新たな機能を追加できるようになりました。これはカーネル内部で動作する仮想マシンの一種であり、バイトコードプログラムを実行するためのサンドボックス環境を提供します。eBPF仮想マシンはシンプルで効率的かつ安全に設計されており、アクセス可能なリソースが制限された命令セットのみを備えています。
誕生以来、eBPFは進化を続け、多様なユースケースを推進する存在となっています。eBPFは、クラウドネイティブ環境における高性能ネットワークと負荷分散の革新を実現し、セキュリティリーダーに低オーバーヘッドコストで詳細なセキュリティデータを提供し、組織の予防的セキュリティ対策を支援してきました。
eBFPの仕組みを理解する
eBPF は、開発者が eBPF プログラムと呼ばれる小さなプログラムを作成し、カーネルのさまざまなポイントにアタッチしてデータを傍受および処理できるようにすることで、高レベルで機能します。通常C言語のサブセットで記述されたプログラムは、eBPFバイトコードにコンパイルされ、カーネルにロードされて実行されます。従来のカーネルモジュールとは異なり、eBPFプログラムはカーネルソースコードの変更や再コンパイルを必要としないため、導入と管理が容易です。
Linuxカーネル内で実行されるeBPFプログラムは、以下の特定のステップに従います：
- eBPFプログラムが記述されると、eBPFバイトコードへコンパイルされます。生成されたバイトコードは、カーネル内で実行可能な低レベルかつプラットフォーム非依存のeBPFプログラム表現です。
- 次に、eBPFバイトコードがカーネルにロードされます。ロードプロセスでは、実行中のカーネルとの安全性と互換性の検証が行われ、eBPFプログラムを実行するために必要なリソースが割り当てられます。
- eBPFプログラムがロードされると、ネットワークパケットやシステムコール（syscall）などの特定のカーネルイベントにアタッチできます。
- アタッチされたカーネルイベントが発生すると、eBPFプログラムはカーネルによって自動的に実行されます。eBPF プログラムは、ループや条件文などの標準的な C プログラミング構文を使用して、イベントに関連付けられたデータにアクセスし、変更することができます。
- eBPF プログラムは、データを処理した後、オプションで結果をカーネルに返すことができます。たとえば、ネットワークインターフェースにアタッチされた eBPF プログラムは、特定の条件に一致するパケットをドロップしたり、システムコールにアタッチされた eBPF プログラムは、コールの続行を許可する前に、コールに渡される引数を変更したりすることができます。
- eBPF プログラムが不要になった場合は、カーネルからアンロードすることができ、eBPF プログラムに割り当てられたリソースを解放し、アタッチされたカーネルイベントが発生しても、そのプログラムが実行されなくなることを保証します。
eBPF の重要な特徴の 1 つは、その安全性の保証です。eBPF プログラムはカーネル内の制限付き仮想マシンで実行され、カーネルのデータ構造に直接アクセスしたり変更したりすることはできず、クラッシュや セキュリティ上の脆弱性 を引き起こすこともありません。さらに、eBPFプログラムは境界チェックや型チェックなど様々な実行時チェックの対象となり、メモリ安全性やその他のセキュリティ特性を侵害しないことが保証されます。
eBPFの利点を探る
今日の世界では、開発者はシステムのセキュリティ、パフォーマンス、安定性を向上させるために eBPF を使用しています。eBPF は、その多くの利点により、Linux エコシステムで非常に人気のある技術となっています。
まず、組織は eBPF を使用して速度とパフォーマンスを確保しています。eBPFプログラムはLinuxカーネル内で実行されるため、従来のユーザースペースプログラムと比較して最小限のオーバーヘッドで動作します。低遅延と高性能が重要な場合、eBPFはタスクを遂行するための理想的な選択肢です。
eBPFプログラムは技術チームの柔軟性も維持します。ネットワークパケット、システムコール、カーネル関数など多様なカーネルイベントにアタッチ可能なため、ネットワーク監視、セキュリティ分析、パフォーマンスプロファイリングなど幅広いユースケースに対応できます。eBPFプログラムはカーネルから動的にロードおよびアンロードできるため、デバッグやトラブルシューティングといった短命なタスクにも利用可能です。
eBPFを利用する開発者は、技術的制約やセキュリティ上の懸念から従来実現できなかった新機能を記述できます。eBPFを利用すれば、Raspberry Piやその他のARMベースシステムといった組み込みデバイス上のハードウェアアクセラレーションを活用するアプリケーションの開発が可能です。
従来のソフトウェアパッケージのように事前コンパイルではなく、ジャストインタイム（JIT）コンパイルされるため、開発者はパフォーマンスやスケーラビリティを犠牲にすることなく、eBPFを使用してアプリケーションやサービスを作成できます。この技術は他のソリューションと比較してセットアップ時間が最小限で済むため、開発者はより少ない労力で本番環境にアプリケーションを迅速にデプロイできます。
eBPFの主なユースケース
eBPFは主に4つのユースケースで活用されます：セキュリティ、ネットワーキング、トレース、可観測性です。
- セキュリティ – セキュリティ分野では通常、システムが個別にシステムコールフィルタリングを処理します。システムコールフィルタにより、アプリケーションは実行を許可されるシステムコールを正確に定義できます。eBPFはあらゆる側面の可視化を促進することで、システムセキュリティの強化を支援します。すべてのシステムコールを解釈し、すべてのネットワーク操作をパケットおよびソケットレベルで可視化することで、セキュリティ担当者はシステムに対する制御レベルを向上させるために必要なコンテキストを得られます。
- ネットワーク –eBPFは効率性とプログラム可能性により、パケット処理要件をサポートします。Linuxカーネルのパケット処理コンテキストを離脱することなく、新たな要件を満たす追加のプロトコルパーサーやプログラム転送ロジックを追加することでこれを実現します。
- トレース –開発者は、トレースポイントやカーネルおよびユーザーアプリケーションのプローブポイントにeBPFプログラムをアタッチすることで、すべてのシステムアプリケーションの実行時動作を可視化します。eBPFはシステムとアプリケーションの両方にコンテキストを提供し、この組み合わせにより技術チームはパフォーマンス問題のトラブルシューティングに活用できる強力な洞察を得られます。
- 可観測性 – eBPFは、技術チームが多様なソースに基づいてカスタマイズ可能なシステムメトリクスのカーネル内集計データを収集するために使用されます。時間のかかる大規模なサンプリングデータエクスポートに依存する必要がなく、eBPFは絶対必要なデータのみを収集することで可視性の深さを高め、組織のシステムオーバーヘッドコストを削減します。
eBPFが現代のクラウドセキュリティ対策を強化する方法
堅牢なクラウドセキュリティ戦略を構築するには、クラウドワークロード保護プラットフォーム（CWPP）エージェントが不可欠です。ランサムウェアやゼロデイ攻撃などの実行時脅威に対するリアルタイム保護を提供します。blog/endpoint-identity-and-cloud-top-cyber-attacks-of-2022-so-far/">攻撃など、実行時の脅威に対するリアルタイム保護を提供します。これは他のセキュリティ対策とは一線を画す特徴です。eBPFは、世界中の組織で導入が拡大し続けるクラウドシステムのパフォーマンスとスケーラビリティを大幅に向上させます。
CWPPエージェントは ワークロード テレメトリを記録し、フォレンジック分析に有益な情報を提供します。これに対し、クラウドコンピューティングインスタンスのストレージボリュームを検査するサイドスキャンソリューションは、1日1回しか実行できず、プロセスレベルの可視性に欠けるため、リアルタイム保護と精度の制限が生じます。CWPPプログラム内でeBPFフレームワークを使用することには、以下のような利点があります：
- 運用安定性 — カーネル内でコードを実行することは、カーネルへの脆弱性導入リスクを高めシステム全体を不安定化させるため重大なリスクです。eBPF フレームワークには、カーネルをクラッシュさせないための JIT コンパイラなどの安全制御が含まれています。
- システムパフォーマンス – カーネルとユーザースペース間のデータ転送は通常、低速でパフォーマンスのオーバーヘッドが発生します。eBPF フレームワークにより、チームはカーネルの動作を観察し、カーネル内で分析を実行してから、結果の一部をユーザースペースに転送することができるため、必要なオーバーヘッドを削減できます。
- ビジネスの俊敏性 –ユーザー空間から動作することで、eBPF は DevOps チームとベンダーに、より大きな柔軟性と俊敏性を提供します。DevOps は、カーネル依存の問題を心配することなくイノベーションに集中でき、ベンダーはメンテナンスよりもイノベーションに集中できます。これにより、イノベーションと顧客体験の向上が持続的に循環する。
概要
eBPF は、ネットワークやセキュリティから可観測性やパフォーマンス分析に至るまで、幅広いアプリケーションにとって重要な技術として急速に普及しています。その柔軟性と安全性の保証により、Linuxカーネルのカスタマイズや拡張に強力なツールとして活用されており、新たなユースケースが発見・開発されるにつれ、その人気と採用は拡大を続けています。
主要企業は、SentinelOneのCWPPや、Singularity Cloud Workload Securityといったソリューションへの投資を継続しています。これらは、eBPFフレームワークの利点を組み込んでいます。eBPFフレームワークの利点を組み込んだソリューションへの投資を継続しています。デジタル環境がますます動的で複雑化し、多数のワークロードが共有インフラ上で実行される中、eBPFは可視性と制御性の向上に貢献し、セキュリティチームがワークロードをより効果的に監視・保護することを可能にします。SentinelOneのセキュリティソリューションがeBPFの利点を活用し、多様な環境におけるパフォーマンスと効率性を向上させる方法について、ぜひお問い合わせください。セキュリティエキスパートによるデモを今すぐご予約ください。
"拡張バークレーパケットフィルタ FAQ
eBPFは安全なカーネル内仮想マシンであり、Linuxカーネルのソースを変更したりモジュールを追加したりすることなく、カスタムバイトコードをカーネルにロードできます。実行前にカーネル検証器がeBPFプログラムの安全性（無限ループやメモリ範囲外アクセスがないこと）をチェックし、その後JITコンパイルによりネイティブに近い速度を実現します。従来のBPFから進化し、パケットフィルタリングだけでなくトレース、可観測性などをサポートします。
"eBPFは、ネットワーキング、トレース、ユーザートレースポイントの定義などのアプリケーションをサポートできます。具体的には以下を実現します：
- 高性能パケット処理（例：XDP）
- システムコールとアプリケーション動作の深い可観測性とプロファイリング
- リアルタイムセキュリティ監視とポリシー適用
- Kubernetesにおけるコンテナレベルの可視性とネットワークポリシー
- 負荷分散、メトリクス集計、フィルタリングのためのカスタムカーネル内ロジック。
カーネルコンテキストで実行されるeBPFは、最小限のオーバーヘッドとカーネル再起動なしで、システムコール、ネットワークフロー、プロセスイベントに対するリアルタイムの可視性を提供します。そのサンドボックスは不安定なコードを防止し、マップによりユーザー空間ツールがテレメトリを取得できます。
この組み合わせにより、横方向の移動や不正なファイルアクセスなどの脅威を早期に検知し、カーネルのイベントパス内で即座にブロックまたはキルポリシーを適用できます。
"eBPFはセキュリティ専用に設計されたものではないため、トレードオフが存在します：メモリ制限や命令数制限によりイベントが失われる可能性があります；ロードされたプログラムに対する組み込みの改ざん防止機能はなく、一部の「ヘルパー」関数（例：bpf_probe_write_user）は権限昇格に悪用される可能性があります。
古いカーネルでは検証機能の修正が適用されていない場合があり、権限管理が不十分な状態では、設定ミスや悪意のあるeBPFがルートキットの侵入経路となる可能性があります。
"一般的なeBPFの展開例には以下が含まれます：
- ネットワークパケットフィルタリングと負荷分散
- パフォーマンスプロファイリングのためのアプリケーションおよびカーネルトレース
- 侵入検知および防止
- Kubernetesにおけるコンテナセキュリティとマイクロセグメンテーション
- 可観測性プラットフォーム向けカスタムメトリクス収集とカーネル内集計
eBPFソリューションを展開する前に、カーネルバージョンが必要なフックをサポートしていること、検証ツールにセキュリティパッチが適用されていることを確認してください。イベントの損失を防ぐため、十分なCPUとメモリの余裕を確保してください。厳格な機能制限（例：非特権BPFの無効化）を定義し、サードパーティ製eBPFモジュールを精査してサプライチェーンリスクを防止し、新規ポリシーは監査モードで実行して影響を測定した後、ブロックや終了を強制してください。
"SentinelOneはeBFPアーキテクチャを採用し、クラウドワークロード保護の安定性と信頼性を向上させます。リアルタイム脅威検知・対応、カーネルレベル活動の深い可視化を実現し、ゼロデイ攻撃、ランサムウェア、その他の悪意あるプロセスといった実行時脅威に対抗します。 互換性の懸念なく、ホストOSイメージのシームレスな更新が可能です。
SentinelOne Singularity XDRは高度な分析とフォレンジック調査を実行でき、AWS、Azure、Google Cloud、プライベートクラウドなど様々なクラウド環境に適しています。さらに、幅広いLinuxディストリビューション、コンテナランタイム、Windowsサーバー、Kubernetesをサポートしています。
