[Learning eBPF] CH9. eBPF for Security

[Learning eBPF] CH9. eBPF for Security애플리케이션이 파일을 열었다는 사실만으로 공격이라고 판단할 수 있을까? 의심스러운 행동을 발견했다면, 그 행동이 끝나기 전에 막을 수도 있을까?Chapter 9는 이 두 질문을 정책, 문맥, 검사 위치, 대응 시점으로 설명한다. syscall을 관찰하는 방법에서 출발해 seccomp, TOCTOU, BPF LSM, Tetragon으로 범위를 넓히며, eBPF가 보안 이벤트 수집과 실행 중 통제에 어떻게 사용되는지 살펴본다.이 글은 첨부 교재의 인쇄 페이지 pp.171–183을 바탕으로 재구성했다. 도구 설명은 교재의 접근 방식을 중심으로 정리했고, 그대로 일반화하면 오해할 수 있는 내용은 별도의 보충 설명으로 구분했다.먼저 알아둘 공통 ..

• format_list_bulleted 카테고리 없음
• · 2026. 9. 19.

[Learning eBPF] CH8. eBPF for Networking

네트워크로 들어온 패킷은 어디에서 차단되고, 어떻게 다른 서버로 전달될까? 암호화된 통신의 내용은 어느 지점에서 볼 수 있을까?Chapter 8은 이런 질문을 작은 eBPF 프로그램으로 설명한다. 패킷을 읽고, 다음 동작을 결정하고, 필요하면 내용을 수정하는 과정을 이해하면 로드밸런싱과 Kubernetes 네트워킹까지 연결해서 볼 수 있다.먼저 알아둘 공통 용어용어이 글에서 뜻하는 것패킷, Packet네트워크로 주고받는 데이터의 한 덩어리. 여기서는 Ethernet Frame까지 포함한 데이터를 편의상 패킷이라고 부른다.헤더, Header데이터 앞에 붙는 전달 정보. 출발지, 목적지, 프로토콜 등이 들어 있다.네트워크 인터페이스, Interface데이터가 들어오고 나가는 접점. 물리 장치와 연결된 인터페..

• format_list_bulleted 카테고리 없음
• · 2026. 9. 12.

[Learning eBPF] Cilium 오픈소스 분석(2015.12 - 초기 코드)

가장 초기 Cilium Datapath PoC 코드부터 살펴보기이번 eBPF 스터디를 통해서 Cilium 자체도 이해하고 싶었다.Cilium을 통해서 Kubernetes Networking에서 eBPF가 실제 Packet 처리에 어떻게 사용되는지도 확인해보고 싶었다.하지만 현재 Cilium 코드는 너무 크고, 기능이 많이 한번에 모든 Cilium 코드와 기능을 분석하는게 어려웠다.그래서 최신 코드부터 시작하지 않고 가장 초기의 PoC 수준 코드부터 시작해서 점차 현재 Cilium 구조로 올라가 보기로 했다.이번에 분석한 오픈소스 코드는 2015년 12월의 다음 Commit이다.https://github.com/cilium/cilium/commit/a1eab8fa7bdc1132a197deab70a11599..

• format_list_bulleted 카테고리 없음
• · 2026. 9. 5.

[EKS] 학습

학습 주제내용자료EKS Architecture / Control PlaneEKS가 관리하는 영역 vs 사용자 영역, Control Plane VPC와 사용자 VPC, EKS ENI, API Server Public/Private Endpoint, Control Plane HA 구조 이해. kubectl → EKS API Endpoint → Control Plane → Node 흐름을 직접 설명할 수 있어야 함. (AWS 문서)AWS EKS Architecture API Endpoint 설정 re:Invent 2025 - EKS Under the Hood re:Invent EKS Under the Hood PDFEKS Cluster Access / IAM / RBACIAM 인증과 Kubernetes RBA..

• format_list_bulleted 카테고리 없음
• · 2026. 8. 29.

[Learning eBPF] Ch7. eBPF Program과 Attachment Type 이해하기

Chapter 7은 세부 Program Type을 하나씩 나열하기보다, 어디에 붙는가 → 어떤 정보를 받는가 → 무엇을 할 수 있는가 흐름으로 묶고 그림 중심으로 설명하는 게 좋다.eBPF Program은 Linux Kernel 내부의 아무 위치에서 실행되는 것이 아니다. 특정 Event가 발생하는 Hook Point에 Attach되어 실행된다.예를 들어 Process 실행을 추적하려면 kprobe, fentry, tracepoint 등을 사용할 수 있고, Network Packet을 처리하려면 XDP, TC 같은 Hook을 사용한다. Chapter 7은 이러한 Program Type과 Attachment Point의 관계를 설명한다. 1. Program Type과 Attachment TypeeBPF..

• format_list_bulleted eBPF
• · 2026. 8. 29.

AWS EC2 Nitro 아키텍처 딥다이브(Deep Dive)

2013년 Xen의 한계점 : Trap & Emulate 구조로 인한 Dom0 과부하 및 자원 낭비 가상 머신(게스트 OS)이 네트워크나 디스크 I/O를 요청할 때마다 특권 명령어(Privileged Instruction)가 발생.Xen에서는 CPU → 하이퍼바이저 → dom0(관리용 OS) → 디바이스 모델이라는 복잡한 소프트웨어 단계를 거쳐야 했음.> 이 과정에서 CPU가 계속 대기 상태(Trap)에 빠짐> 관리용 OS(dom0)가 메인 CPU와 RAM 자원을 과도하게 사용함 → 고객에게 할당할 자원이 줄어드는 문제 발생 Xen → Nitro System으로: 하드웨어 오프로딩 단계별 흐름 시각화 Nitro System 사진 Nitro System Network

• format_list_bulleted AWS - knowledge base/EC2
• · 2026. 8. 23.