eBPF 云运行时安全监控器
ECRSM 是基于 eBPF 的教学用云运行时安全监控器，以内核 eBPF、Go 采集代理和 React 仪表板组成合成、只读的运行时可视化栈。
01 / 概览
- 01eBPF (C)
- 02Go（智能体）
- 03React（仪表板）
- 04Kubernetes（Helm）
问题
理解内核层面的运行时安全十分复杂。ECRSM 提供安全的教学平台，用于学习 eBPF 监控。
解决方案概述
- 实现 eBPF 钩子以安全追踪系统调用。
- 构建 Go 采集代理收集并丰富元数据。
- 创建实时 React 可视化仪表板。
- 设计安全的合成攻击模拟。
02 / 证据
证明与验证
- 检测反向 shell、进程注入和可疑执行。
- 使用低开销 perf buffer 传输数据。
- 丰富容器／K8s 元数据。
- 可通过合成攻击脚本验证。
03 / 方法
构建
技术栈
- eBPF (C)
- Go（智能体）
- React（仪表板）
- Kubernetes（Helm）
- 内核跟踪点：execve、connect、ptrace、mmap。
- Go 采集代理用于元数据丰富和规则处理。
- 实时 WebSocket 仪表板。
- Kubernetes DaemonSet 部署。
安全
- 只读检查，不写入内核。
- 仅元数据，不收集载荷或秘密。
- 最小权限，仅 BPF/SYS_ADMIN 能力。
- 安全的合成模拟。