eBPF 开发实战：CO-RE 与 libbpf
eBPF 是 Linux 内核中最具影响力的可观测性与网络编程技术，libbpf 与 CO-RE 让它具备了跨内核版本的可移植性。本文剖析 BTF 类型信息与 CO-RE 重定位原理，详解 libbpf 工程骨架与 skeleton 生成流程，并给出验证器报错排查清单。
tag
EBPF
共 10 篇文章。
运行时安全：Falco/Tetragon 与 eBPF 检测实战
从运行时威胁模型讲起，深入 eBPF 的内核钩子与检测原理、Falco 规则语法与告警管道、Tetragon 的策略执行与进程谱系、系统调用行为基线、容器逃逸与提权检测、告警降噪与响应编排，以及性能开销与内核兼容性的生产实践。
eBPF 网络数据面：XDP、tc 与可编程转发
系统讲解 eBPF 网络数据面：从验证器与加载流程到 XDP、tc 两大挂载点的处理时机与返回值语义，BPF map 与用户态交互、可编程转发的实战写法、bpftool 观测、性能特征与常见坑。
持续剖析：Pyroscope、Parca 与生产环境低开销采样
系统讲解持续剖析（Continuous Profiling）的工程实践：采样原理从 pprof 到 eBPF、Pyroscope 与 Parca 的架构对比、火焰图与差异分析、标签与维度设计、生产环境低开销采样策略、与指标和链路的联动，以及常见避坑与最佳实践清单。
《eBPF 与可观测性：bpftrace、追踪与动态插桩》
系统讲解 eBPF：内核虚拟机与 verifier 安全机制、各类 hook 点（kprobe/uprobe/tracepoint/XDP/tc）、程序加载与 maps 通信、bpftrace 单行命令与脚本实战（CPU/内存/网络/IO 追踪）、BCC 工具集与 CO-RE，以及生产环境的安全权限与落地实践。
网络可观测性：NetFlow/sFlow/IPFIX 与 eBPF 数据面观测
深入讲解网络可观测性的三大数据来源：NetFlow/sFlow/IPFIX 流量采集、eBPF 内核数据面观测与协议级分析，涵盖采样原理、导出架构、指标计算与网络监控排障平台的整体设计。
eBPF 可观测与内核追踪：从 BPF 程序模型到生产调试与安全审计
eBPF 让开发者无需修改内核代码，就能在内核事件发生处动态注入安全受限的程序，是现代可观测性、性能诊断与安全审计的事实标准。本文从 BPF 指令集与验证器出发，拆解程序类型与挂载点（tracepoint/kprobe/uprobe），讲解 BPF Map 的数据通道，再对比 bpftrace、BCC 与 libbpf/CO-RE 三条开发路径，最后给出 TCP 重传追踪、阻塞唤醒分析、execsnoop 审计等真实生产场景的完整脚本。
eBPF 可观测性：内核可编程追踪与性能剖析
系统性 eBPF 可观测性实战：eBPF 架构与执行模型（Verifier/JIT/maps/Helper）、BCC 与 libbpf 开发框架对比、BPF 程序类型（kprobe/tracepoint/uprobe/XDP/TC/socket）、Go eBPF 开发（cilium/ebpf 库）、常见可观测性场景（函数追踪/延迟分析/火焰图/网络丢包/文件 IO/TCP 连接）、eBPF 安全与权限（CAP_BPF）、性能开销控制、与 Prometheus/Grafana 集成。附 C/libbpf 和 Go 实战代码。
专题四：云原生可观测性
从可观测性三大支柱（Metrics/Logs/Traces）出发，深度覆盖 Prometheus、Grafana、OpenTelemetry、Jaeger/Tempo、Loki、EFK 等主流云原生可观测性栈，延伸至 OTel Collector 深度调优、Prometheus 长期存储集群化（Thanos/Mimir）、Grafana Alerting 统一告警、Loki 标签基数与查询性能优化、服务网格可观测性（Istio/Kiali）、生成式 AI 可观测性（LLM 追踪/成本/质量/安全）、eBPF、SLO 工程、K8s 可观测性、APM 及数据存储选型。附带实战配置与架构设计。并延伸至 OpenMetrics 指标规范治理、日志采样去重与降噪、仪表盘设计与可读性工程，以及 GPU 与加速器、Serverless 与 FaaS、边缘与 IoT 三类特殊负载的可观测性实践。
云原生安全与可观测性
云原生环境安全防护：eBPF 安全监控、Falco 运行时威胁检测、服务网格安全、云安全态势管理（CSPM）与可观测性体系建设。