eBPF超入門「o11yに使える」とは (20250424_eBPF_o11y)

2025年4月24日 (木) に開催された「いつも監視(み)てるよ 〜ヤバいオブザーバビリティLT会〜」での発表資料です。

https://livesense.connpass.com/event/349898/

1. eBPF超入門 「o11yに使える」とは 株式会社Voicy ソフトウェアエンジニア 千田 航己 @thousan_da
2. はじめに わたしは超初心者です！！ 2
3. はじめに わたしは超初心者です！！ 「eBPFってObservabilityに使えそうだな〜 (具体的には分からないけど) 」 くらいの気持ちになってもらいたい 3
4. eBPFとは extended BPF → 拡張されたBPF 4
5. BPFとは BPF = Berkeley Packet Filter (さいしょはBSD Packet Filter) ▪ パケットをOS世界でフィルタリングするもの 5 Kernel Packet Filter Network Pakcets
6. BPFとは BPF = Berkeley Packet Filter ▪ パケットをOS世界でフィルタリングするもの 6 Kernel Packet Filter Network Userland Pakcets Application
7. BPFとは BPF = Berkeley Packet Filter ▪ パケットをOS世界でフィルタリングするもの 7 Kernel Packet Filter Network Userland Pakcets Application ここをまたぐとコストが高い！
8. BPFのパケットフィルターとは 8 ▪ いくつかの命令を持つ仮想マシン Packet Filter 仮想マシン カーネル上で動く フィルタロジック を自分で書ける
9. eBPFとは 9 ▪ この仮想マシンが、パケットフィルター以外もできればいいのでは？ • → これがextended (拡張された) なところ カーネル上で動く プログラム を自分で書ける Packet Filter 仮想マシン カーネルの再コンパイルや計算機の再起動をすることなく、 カーネルに挙動を追加できる！
10. eBPFでできること ▪ Hook pointにeBPFプログラムをアタッチしておく ▪ → Hookが発火したときにそのプログラムが実行される 10 パケットが届く パケットをフィルターする システムコール が実行される プロセスIDをログに出しておく
11. デモ 11 $ sudo bpftrace -e ' tracepoint:syscalls:sys_enter_execve { printf("PID %d executed %s\n", pid, str(args->filename) ); }' Attaching 1 probe... $ Terminal 1 eBPFプログラムをシステムコール呼び 出しにアタッチしてログを出す Terminal 2 システムコールを伴う コマンドを実行する
12. デモ 12 $ sudo bpftrace -e ' tracepoint:syscalls:sys_enter_execve { printf("PID %d executed %s\n", pid, str(args->filename) ); }' Attaching 1 probe... $ ls file_a file_b file_c $ Terminal 1 eBPFプログラムをシステムコール呼び 出しにアタッチしてログを出す Terminal 2 システムコールを伴う コマンドを実行する
13. デモ 13 $ sudo bpftrace -e ' tracepoint:syscalls:sys_enter_execve { printf("PID %d executed %s\n", pid, str(args->filename) ); }' Attaching 1 probe... PID 9817 executed /usr/bin/ls $ ls file_a file_b file_c $ Terminal 1 eBPFプログラムをシステムコール呼び 出しにアタッチしてログを出す Terminal 2 システムコールを伴う コマンドを実行する
14. 参考文献 ▪ https://ebpf.io/ ▪ The BSD Packet Filter: A New Architecture for User-level Packet Capture • Steven McCanne • Van Jacobso • 論文 ▪ Learning eBPF • Liz Rice • 本 ▪ 入門 eBPF ―Linuxカーネルの可視化と機能拡張 • Liz Rice　著 • 武内 覚、近藤 宇智朗　訳 • Learning eBPFの日本語訳 14