eBPF는 단순히 커널 내부를 추적하는 기술이 아닙니다. 오늘날에는 프로세스 모니터링, 네트워크 분석, 보안, 성능 최적화, 컨테이너 관리, DDoS 방어 등 다양한 분야에서 실제 서비스에 활용되고 있습니다.
특히 Kubernetes와 클라우드 환경에서는 eBPF가 핵심 기술로 자리 잡았으며, Cilium, Falco, Pixie, Katran 같은 유명 프로젝트도 모두 eBPF를 기반으로 동작합니다.
이번 글에서는 실제 현업에서 자주 구현하는 eBPF 프로젝트를 중심으로 구조와 동작 원리, 활용 사례를 알아보겠습니다.
eBPF 실전 프로젝트의 기본 구조
대부분의 eBPF 프로젝트는 다음과 같은 구조를 가집니다.
User Application
↓
libbpf / Aya
↓
eBPF Program
↓
Kernel Hook
↓
BPF Map
↓
User Application사용자 공간 프로그램이 eBPF 프로그램을 로드하고, 커널에서 발생한 이벤트를 BPF Map이나 Ring Buffer를 통해 전달받습니다.
프로젝트 1. 프로세스 생성 모니터링
가장 많이 구현하는 예제입니다.
동작 과정은 다음과 같습니다.
fork()
↓
execve()
↓
Tracepoint
↓
eBPF
↓
Ring Buffer
↓
User Program새로운 프로세스가 생성될 때마다 PID, 프로세스 이름, 부모 PID 등을 수집할 수 있습니다.
활용 분야
- 서버 감사(Audit)
- 악성코드 탐지
- 비정상 프로세스 분석
- 보안 모니터링
프로젝트 2. 파일 접근 감시
파일 시스템 접근을 실시간으로 추적하는 프로젝트입니다.
open()
↓
kprobe
↓
eBPF
↓
BPF Map
↓
Log다음과 같은 정보를 수집할 수 있습니다.
- 파일 이름
- PID
- UID
- 접근 시간
- 읽기/쓰기 여부
활용 분야
- 개인정보 접근 감시
- 중요 파일 보호
- 랜섬웨어 탐지
프로젝트 3. 네트워크 연결 추적
소켓 생성과 연결을 모니터링합니다.
connect()
↓
Tracepoint
↓
eBPF
↓
Map
↓
Userspace수집 가능한 정보는 다음과 같습니다.
- 출발지 IP
- 목적지 IP
- 포트 번호
- 프로토콜
- PID
- 프로세스 이름
활용 분야
- 네트워크 모니터링
- 침입 탐지
- 이상 트래픽 분석
프로젝트 4. XDP 방화벽
가장 유명한 eBPF 프로젝트 중 하나입니다.
Packet
↓
NIC Driver
↓
XDP
↓
IP 확인
↓
DROP
또는
PASSHash Map에 저장된 차단 대상 IP와 비교하여 공격 패킷을 즉시 삭제합니다.
활용 분야
- DDoS 방어
- 웹 방화벽
- IP 차단
- 속도 제한(Rate Limit)
프로젝트 5. 시스템 호출 추적
모든 System Call을 감시합니다.
System Call
↓
Tracepoint
↓
eBPF
↓
Ring Buffer예를 들어 다음 호출을 추적할 수 있습니다.
- execve
- openat
- read
- write
- connect
- accept
활용 분야
- 보안 감사
- 시스템 분석
- 이상 행위 탐지
프로젝트 6. CPU 사용률 분석
특정 프로세스의 CPU 사용량을 분석합니다.
Scheduler
↓
Context Switch
↓
eBPF
↓
Statistics수집 가능한 정보는 다음과 같습니다.
- CPU 점유율
- 실행 시간
- 대기 시간
- Context Switch 횟수
프로젝트 7. 메모리 사용량 분석
메모리 할당을 실시간으로 추적합니다.
kmalloc()
↓
kprobe
↓
eBPF
↓
Statistics활용 예시는 다음과 같습니다.
- 메모리 누수 탐지
- 커널 메모리 분석
- 성능 최적화
프로젝트 8. 컨테이너 모니터링
컨테이너 환경에서도 eBPF는 중요한 역할을 합니다.
Container
↓
Namespace
↓
eBPF
↓
Metrics
↓
Dashboard컨테이너별로
- CPU
- 메모리
- 네트워크
- 디스크 I/O
등을 개별적으로 수집할 수 있습니다.
프로젝트 9. DNS 모니터링
DNS 요청을 추적하는 프로젝트입니다.
DNS Query
↓
Socket
↓
eBPF
↓
Log수집 가능한 정보
- 도메인 이름
- 응답 시간
- 요청 횟수
- PID
프로젝트 10. HTTP 요청 분석
HTTP 요청을 실시간으로 분석합니다.
HTTP Request
↓
Socket
↓
eBPF
↓
Parser
↓
Metrics확인 가능한 항목
- URL
- 응답 시간
- 상태 코드
- 처리 시간
대표적인 eBPF 기반 오픈소스
실무에서 많이 사용하는 프로젝트는 다음과 같습니다.
| 프로젝트 | 용도 |
|---|---|
| Cilium | Kubernetes 네트워크 |
| Falco | 보안 모니터링 |
| Pixie | Observability |
| Katran | L4 Load Balancer |
| Parca | Continuous Profiling |
| Inspektor Gadget | Kubernetes 디버깅 |
| Tetragon | Runtime Security |
이들 프로젝트는 모두 eBPF를 적극 활용합니다.
실무에서 자주 사용하는 명령어
로드된 프로그램 확인
sudo bpftool prog showBPF Map 확인
sudo bpftool map showTracepoint 확인
sudo bpftool perf showKernel 기능 확인
sudo bpftool featureBTF 확인
sudo bpftool btf show네트워크 인터페이스 확인
ip link show실무 사례
한 금융회사가 Linux 서버 수백 대를 운영하고 있다고 가정해 보겠습니다.
운영팀은 비정상적인 프로세스 실행과 외부 네트워크 연결을 실시간으로 감시해야 합니다.
eBPF를 활용하면 다음과 같은 구성이 가능합니다.
execveTracepoint를 이용해 새로운 프로세스 실행 감시connectTracepoint로 외부 네트워크 연결 추적- Ring Buffer를 통해 사용자 공간으로 이벤트 전달
- 의심스러운 프로세스 실행 시 관리자에게 즉시 알림
- XDP 방화벽을 통해 공격 IP를 커널 진입 전에 차단
이처럼 하나의 서버에서 성능 저하를 최소화하면서 보안과 모니터링을 동시에 수행할 수 있습니다.
자주 묻는 질문
eBPF 프로젝트를 시작할 때 가장 추천하는 예제는 무엇인가요?
처음에는 프로세스 생성 모니터링(execve Tracepoint)이나 파일 접근 감시(openat 추적)부터 시작하는 것이 좋습니다. 구조가 단순하면서도 eBPF의 핵심 개념을 익히기에 적합합니다.
XDP 프로젝트와 Tracepoint 프로젝트의 차이는 무엇인가요?
XDP는 네트워크 패킷을 NIC 드라이버 단계에서 처리하는 고성능 프로젝트에 적합합니다. 반면 Tracepoint는 프로세스 실행, 시스템 호출, 파일 접근 등 커널 이벤트를 추적하는 데 주로 사용됩니다.
eBPF 프로젝트는 운영 환경에서도 사용할 수 있나요?
네. Cilium, Falco, Pixie, Tetragon 등 수많은 오픈소스 프로젝트가 이미 운영 환경에서 eBPF를 활용하고 있습니다. 다만 충분한 테스트와 커널 버전 호환성 검증을 거친 후 적용하는 것이 좋습니다.
마무리
eBPF는 단순한 커널 추적 기술을 넘어 다양한 실전 프로젝트에서 핵심 역할을 수행하는 플랫폼으로 발전했습니다. 프로세스 모니터링, 파일 접근 감시, 네트워크 분석, XDP 방화벽, Kubernetes 보안 등 활용 범위가 매우 넓으며, 최신 Linux 환경에서는 성능과 가시성을 동시에 확보할 수 있는 중요한 기술입니다. 실제 프로젝트 사례를 이해하면 eBPF가 왜 현대 인프라에서 주목받는지 더욱 쉽게 이해할 수 있습니다.