วิธีใช้ eBPF เพื่อมอนิเตอร์ประสิทธิภาพและความปลอดภัยของระบบ Linux แบบเรียลไทม์อย่างปลอดภัย

บทความนี้จะสอนคุณใช้ eBPF เพื่อติดตามประสิทธิภาพและความปลอดภัยของระบบ Linux แบบเรียลไทม์อย่างปลอดภัย โดยไม่ต้องเขียน kernel module หรือรีบูตเครื่อง คุณสามารถดึงข้อมูลเชิงลึกจากเคอร์เนลได้ทันที

ภาพรวม — Overview

eBPF (extended Berkeley Packet Filter) เป็นเทคโนโลยีที่ให้คุณรันโค้ดขนาดเล็กในระดับเคอร์เนลโดยไม่ต้องคอมไพล์โมดูลใหม่ การใช้งาน eBPF ทำให้สามารถเก็บข้อมูลระบบ, ตรวจจับพฤติกรรมผิดปกติ, และสร้างสถิติแบบเรียลไทม์ได้อย่างมีประสิทธิภาพ

• โค้ดที่รันในเคอร์เนล มีขนาดเล็กและตรวจสอบความปลอดภัยก่อนโหลด
• สามารถเชื่อมต่อกับ BPF maps เพื่อส่งข้อมูลไปยังผู้ใช้โดยไม่กระตุกระบบ
• รองรับหลายเวอร์ชันของ Linux ตั้งแต่ 4.1 ขึ้นไป

**Tip: ตรวจสอบ kernel version ก่อนเริ่มใช้งาน eBPF ด้วยคำสั่ง `uname -r` และอัปเดตเป็นอย่างน้อย 5.x เพื่อให้ได้ฟีเจอร์ใหม่ล่าสุด

วิธีทำงานของ eBPF — How It Works

eBPF ทำงานโดยคอมไพล์โปรแกรมที่เขียนด้วยภาษา C หรือใช้เครื่องมือระดับสูง (เช่น bpftrace) แล้วแปลงเป็น bytecode ที่เคอร์เนลเข้าใจ เมื่อโหลดเข้าสู่ kernel, verifier จะตรวจสอบว่าโค้ดไม่มีการเข้าถึงหน่วยความจำโดยไม่ได้รับอนุญาตและไม่ทำให้ระบบค้าง

• Verifier ตรวจสอบเสถียรภาพของโค้ดก่อนให้ทำงาน
• BPF maps ทำหน้าที่เป็นพื้นที่จัดเก็บข้อมูลระหว่างเคอร์เนลกับผู้ใช้ (hash, array, perf‑event)
• Prog Type กำหนดจุดเชื่อมต่อ (hooks) เช่น `socket filter`, `tracepoint`, `kprobe`

การติดตั้งและเตรียมระบบ — Setup

• **ขั้นตอนที่ 1: ติดตั้งแพคเกจพื้นฐาน

```bash sudo apt-get install -y linux-tools-common linux-tools-generic clang llvm libbpf-dev bpftool ```

• **ขั้นตอนที่ 2: ตรวจสอบว่า kernel รองรับ BPF subsystem

```bash bpftool feature ```

• **ขั้นตอนที่ 3: เปิดใช้งานการบันทึกข้อมูลใน `/proc/sys/kernel/perf_event_paranoid` ให้ค่าเป็น `1` หรือสูงกว่าเพื่อให้ผู้ใช้ทั่วไปสามารถอ่าน perf‑event ได้
• **ขั้นตอนที่ 4: ติดตั้งเครื่องมือระดับสูง เช่น `bpftrace`, `bcc-tools` เพื่อเขียนสคริปต์อย่างรวดเร็ว

มอนิเตอร์ประสิทธิภาพแบบเรียลไทม์ — Real‑time Performance Monitoring

eBPF สามารถจับข้อมูลเช่น CPU usage, I/O latency, network throughput ได้โดยการใส่ hook ที่ tracepoint หรือ kprobe

• **CPU ใช้งาน: ใช้ `tracepoint:sched:sched_switch` เพื่อติดตามการเปลี่ยน context ของ task
• **I/O latency: ใส่ hook ที่ `block:block_rq_issue` และ `block:block_rq_complete` เพื่อคำนวณเวลาที่ใช้ใน queue
• **Network traffic: ใช้ `socket:inet_sock_set_state` หรือ `xdp` เพื่อตรวจจับแพ็กเก็ตที่เข้าหรือออก

ตัวอย่างสคริปต์ bpftrace ที่แสดง CPU usage ของแต่ละ process: ```bpftrace tracepoint:sched:sched_switch { @cpu[pid, comm] = hist(1000 * (nsec - args->prev_timestamp) / 1e6); } ``` ผลลัพธ์จะเป็น histogram แสดงเวลาการทำงานของกระบวนการแต่ละตัว

ตรวจจับความปลอดภัยด้วย eBPF — Security Monitoring

โดยใช้ kprobe หรือ tracepoint ที่เกี่ยวข้องกับระบบไฟล์และเครือข่าย เราสามารถสร้างระบบ IDS (Intrusion Detection System) แบบ lightweight ได้

• **Detect execve ของไฟล์ที่ไม่คุ้นเคย: Hook `sys_enter_execve` แล้วเปรียบเทียบ path กับ whitelist
• **Monitor suspicious network connections: ใช้ XDP หรือ socket filter เพื่อตรวจจับการเชื่อมต่อไปยัง IP ที่อยู่ใน blacklist
• **Audit privilege escalation: ตรวจสอบ `capable` calls เพื่อดูว่าใครพยายามเรียกใช้ capability ที่สูงกว่า

ข้อมูลที่เก็บไว้ใน BPF maps สามารถส่งออกเป็น JSON หรือ Prometheus metrics เพื่อนำไปวิเคราะห์ต่อได้

เครื่องมือยอดนิยมที่ใช้ eBPF — Popular Tools

เลือกเครื่องมือให้สอดคล้องกับเป้าหมาย: ถ้าเพียงต้องการดึงข้อมูลชั่วคราว bpftrace เพียงพอ; หากต้องการระบบ IDS อย่างเต็มรูปแบบ Falco จะเหมาะกว่า

เคล็ดลับและข้อควรระวัง — Tips & Caveats

**Tip: ใช้ `bpftool prog dump` ตรวจสอบ bytecode ก่อนโหลดจริง เพื่อให้แน่ใจว่าไม่มีส่วนที่อาจทำให้ kernel panic

>

**Warning: อย่าเปิดใช้งาน eBPF ในโหมด privileged บนระบบที่ไม่ได้รับการตรวจสอบอย่างดี เพราะแม้ verifier จะช่วยกรองโค้ด แต่ผู้ใช้ที่มีสิทธิ์เขียนโปรแกรม BPF ยังสามารถสร้างโหลดหนักจนทำให้ระบบช้าได้

• ปรับค่า `perf_event_max_stack` หากต้องบันทึก stack trace จำนวนมาก
• ควรตั้งค่าการเก็บข้อมูลใน BPF maps ให้เป็น per‑CPU เพื่อลดการ contention

สรุป — Summary

• eBPF ช่วยให้คุณสามารถมอนิเตอร์ประสิทธิภาพและความปลอดภัยของ Linux แบบเรียลไทม์โดยไม่ต้องคอมไพล์โมดูลใหม่
• ขั้นตอนหลักคือ: ติดตั้งเครื่องมือ, ตรวจสอบ kernel support, โหลดโปรแกรม BPF ผ่าน verifier แล้วเก็บข้อมูลใน BPF maps
• ใช้ tracepoint/kprobe เพื่อจับ CPU, I/O, network และ syscalls ที่สำคัญ
• เครื่องมือเช่น bpftrace, bcc, cilium, Falco ให้คุณเลือกตามความต้องการของงาน
• ระวังโหลดที่มากเกินไปและตั้งค่าการเก็บข้อมูลให้เหมาะสมเพื่อหลีกเลี่ยงผลกระทบต่อระบบ

**จดจำ: eBPF เป็น “เครื่องมือระดับเคอร์เนลที่ปลอดภัย” — ใช้ให้ถูกวิธี จะทำให้คุณได้มองเห็นภาพระบบแบบเรียลไทม์โดยไม่มีการหยุดชะงัก.