eBPF permette di eseguire programmi sandboxati dentro il kernel Linux in sicurezza, senza scrivere moduli kernel (rischiosi) né ricompilare nulla: agganci un piccolo programma verificato a un evento del kernel – una syscall, un pacchetto di rete, l'esecuzione di un processo – e osservi o intervieni. È una delle innovazioni più importanti del Linux moderno, e ha rivoluzionato tre campi:
- osservabilità di sicurezza: vedi tutto ciò che accade a livello kernel – ogni processo lanciato, ogni connessione, ogni file aperto – con overhead minimo. Falco e Tetragon costruiscono su eBPF il rilevamento di comportamenti anomali a runtime (l'ideale contro il Living-off-the-Land e le container escape)
- rete e sicurezza: Cilium implementa networking, load balancing e policy per Kubernetes in eBPF
- enforcement: non solo osservare ma bloccare – filtrare syscall, negare azioni
Perché è potente per la difesa: opera a un livello sotto l'applicazione e il container, quindi vede ciò che tenta di nascondersi, ed è difficilissimo da eludere restando nel kernel. È l'infrastruttura dietro l'EDR moderno su Linux e la detection a runtime. Il rovescio: la potenza di eBPF lo rende anche una superficie da presidiare – programmi eBPF malevoli esistono, e chi può caricarli va ristretto.