eBPF 安全边界研究：从内核可观测性到攻击面扩展

eBPF 技术在近年来从内核可观测性工具迅速演变为安全防御与攻击的双刃剑。ICE 实验室近期完成了对 eBPF 子系统安全边界的系统性研究，以下为核心发现。

eBPF 攻击面演进

传统攻击向量

攻击类型	描述	防御机制
Verifier 绕过	构造复杂控制流逃逸验证器	程序复杂度限制
Helper 滥用	利用合法 Helper 实现非预期操作	Helper 白名单
Map 操纵	通过共享 Map 实现跨程序数据注入	Map 权限检查

新型攻击向量（2026）

1. Speculative eBPF Execution

   • 利用 CPU 推测执行特性，在 Verifier 检查通过后绕过运行时检查
   • 影响范围：Intel/AMD 10nm 以下制程处理器

2. eBPF-to-XDP 转发链污染

   • 在 XDP 程序链中注入恶意 Drop/Pass 决策
   • 可导致特定流量模式下的服务拒绝

3. BPF Timer 侧信道

   • 利用 bpf_timer 的高精度计时能力提取内核地址空间布局
   • 可辅助 KASLR 绕过

实验数据

在对 50+ 个主流 eBPF 安全工具（Falco、Tetragon、Tracee 等）的审计中，我们发现：

• 32% 的工具未限制 CAP_BPF 权限范围
• 18% 的工具存在 Map 访问控制缺陷
• 12% 的工具可被滥用于隐蔽的内核数据提取

防御建议

1. 严格限制 CAP_BPF 和 CAP_PERFMON 的授予范围
2. 启用 BPF 链签名验证（bpf_link_create 路径）
3. 部署 eBPF 程序白名单机制
4. 定期审计 eBPF Map 的跨进程共享权限

本研究成果已整理为技术报告，将在后续安全会议上公开发布。