eBPF para SysAdmin: Observabilidad y Seguridad en Linux 2025

eBPF Linux (extended Berkeley Packet Filter) no es solo una tecnología más en el ecosistema del kernel; es un cambio de paradigma. Para un SysAdmin avanzado, dominar eBPF significa tener la capacidad de observar, depurar y proteger sistemas Linux a un nivel de granularidad que antes requería parches al kernel o módulos frágiles. Este artículo explora cómo eBPF está redefiniendo la observabilidad kernel y la seguridad eBPF, y cómo puedes usarlo para llevar tu infraestructura al siguiente nivel.

¿Qué es eBPF y por qué es revolucionario?

eBPF es una máquina virtual dentro del kernel Linux que permite ejecutar programas sandboxed en respuesta a eventos del sistema. A diferencia de los módulos de kernel tradicionales, los programas eBPF son verificados estáticamente para garantizar que no bloquean el sistema ni acceden a memoria arbitraria. Esto permite inyectar lógica personalizada en puntos de gancho (hooks) como syscalls, puntos de entrada de red, funciones del kernel, etc.

Características clave para SysAdmin

Seguridad por diseño: El verificador eBPF rechaza cualquier programa que pueda causar bucles infinitos, accesos inválidos o fugas de memoria.
Bajo overhead: Al compilarse a bytecode nativo (JIT), el rendimiento es cercano al de código kernel nativo.
Programabilidad: Puedes escribir lógica en C, Rust o incluso Python (vía BCC/bpftrace) y cargarla en caliente.
No intrusivo: No requiere cambios en el kernel ni reinicios. Los programas se adjuntan y desadjuntan dinámicamente.

# Verificar que tu kernel soporta eBPF
grep CONFIG_BPF /boot/config-$(uname -r)

Salida esperada (parcial):

CONFIG_BPF=y
CONFIG_BPF_SYSCALL=y
CONFIG_BPF_JIT=y

Observabilidad Kernel: De logs a telemetría en vivo

La observabilidad kernel tradicional se basaba en tracepoints, kprobes y uprobes. Con eBPF, estas herramientas se potencian exponencialmente. Ahora puedes capturar eventos del kernel con contexto completo sin saturar el sistema.

Ejemplo práctico: Rastrear syscalls de archivos

Con bpftrace (una herramienta de alto nivel para eBPF), puedes monitorizar en tiempo real qué archivos abre un proceso:

# Monitorear cada open() en el sistema
bpftrace -e 'tracepoint:syscalls:sys_enter_openat { printf("%s %s\n", comm, str(args->filename)); }'

[INFO] Para SysAdmin, esta capacidad es oro. Puedes detectar lecturas de archivos de configuración no autorizadas o exfiltraciones de datos sin instalar agentes pesados.

Mapas eBPF: El corazón de la observabilidad

Los mapas eBPF son estructuras de datos (hash, arrays, colas) compartidas entre el kernel y el espacio de usuario. Permiten agregar métricas en el kernel y exponerlas vía perf_event_open o bpf() syscall.

// Fragmento de un programa eBPF que cuenta paquetes por IP
struct bpf_map_def SEC("maps") packet_count = {
    .type = BPF_MAP_TYPE_HASH,
    .key_size = sizeof(u32),  // IP de origen
    .value_size = sizeof(u64), // contador
    .max_entries = 10000,
};

SEC("xdp")
int count_packets(struct xdp_md *ctx) {
    void *data_end = (void *)(long)ctx->data_end;
    void *data = (void *)(long)ctx->data;
    struct ethhdr *eth = data;
    // ... lógica para extraer IP y actualizar mapa
}

Herramientas esenciales para SysAdmin

Herramienta	Descripción	Caso de uso típico
bpftrace	Lenguaje de alto nivel (similar a awk) para eBPF	Diagnóstico rápido en producción
BCC (BPF Compiler Collection)	Librería Python con herramientas precompiladas	`execsnoop`, `biolatency`, `tcptop`
Cilium	eBPF para redes y seguridad	Políticas de red L7, balanceo de carga
Pixie	Plataforma de observabilidad nativa eBPF	Trazado automático de requests HTTP/gRPC

# Ejemplo con BCC: ver latencia de escrituras en disco
sudo biolatency -d 10

Seguridad eBPF: Protegiendo el kernel y más allá

La seguridad eBPF tiene dos caras: la seguridad de eBPF (evitar programas maliciosos) y la seguridad con eBPF (usar eBPF para detectar amenazas).

Mecanismos de seguridad integrados

Verificador estático: Analiza el bytecode antes de cargarlo. Rechaza programas que:
- Tengan bucles no acotados (a menos que se use BPF_F_LOOP).
- Accedan a memoria fuera de los límites.
- Intenten modificar el kernel de forma peligrosa.
Capabilities: Solo procesos con CAP_BPF o CAP_SYS_ADMIN pueden cargar programas eBPF.
LSM (Linux Security Modules): eBPF puede adjuntarse a hooks LSM (ej: security_file_open) para políticas de seguridad personalizadas.

[WARNING] Aunque eBPF es seguro por diseño, un programa mal escrito puede causar denegación de servicio (ej: un bucle infinito en el verificador). Siempre prueba en staging.

Detección de amenazas en tiempo real

Con eBPF, puedes implementar EDR (Endpoint Detection and Response) a nivel kernel sin agentes pesados. Ejemplos:

Detección de escalada de privilegios: Monitorizar syscalls execve con setuid o capset.
Detección de reverse shells: Capturar conexiones TCP salientes a IPs sospechosas.
Forense de contenedores: Rastrear llamadas a mount o chroot dentro de contenedores.

# Detectar ejecución de binarios con setuid usando bpftrace
bpftrace -e 'tracepoint:syscalls:sys_enter_execve /args->filename != ""/ { printf("%s ejecutó %s (uid=%d)\n", comm, str(args->filename), uid); }'

Políticas de red con Cilium

Cilium usa eBPF para implementar NetworkPolicies en Kubernetes que funcionan a nivel L3-L7, superando las limitaciones de iptables.

# Política Cilium que permite solo HTTP GET a /api
apiVersion: "cilium.io/v2"
kind: CiliumNetworkPolicy
metadata:
  name: "api-allow-get"
spec:
  endpointSelector:
    matchLabels:
      app: myapi
  ingress:
  - fromEndpoints:
    - matchLabels:
        role: frontend
    toPorts:
    - ports:
      - port: "8080"
        protocol: TCP
      rules:
        http:
        - method: "GET"
          path: "/api"

Casos de uso avanzados para SysAdmin

1. Diagnóstico de rendimiento en producción

Herramientas como bcc y bpftrace permiten medir latencia de syscalls, análisis de bloqueos de I/O, y perfiles de CPU con mínimo overhead.

# Medir latencia de write() en disco
sudo bpftrace -e 'kprobe:__blockdev_direct_IO { @start[tid] = nsecs; } kretprobe:__blockdev_direct_IO /@start[tid]/ { @us = hist((nsecs - @start[tid]) / 1000); delete(@start[tid]); }'

[TIP] Usa bpftrace -c 'comando' para rastrear solo un proceso específico.

2. Seguridad en entornos multitenant

En clústeres Kubernetes, eBPF permite aislar el tráfico de red entre pods sin necesidad de sidecars. Cilium implementa identidad de seguridad basada en labels de Kubernetes, no en IPs.

3. Depuración de fallos de kernel

Cuando un servidor se cuelga, eBPF puede capturar el estado exacto antes del crash. Usando bpf_send_signal() puedes incluso matar procesos que consumen demasiados recursos.

Limitaciones y consideraciones

Aunque eBPF es poderoso, no es bala de plata:

Complejidad: Requiere entender el kernel y sus hooks. Herramientas como bpftrace reducen la barrera, pero para programas avanzados necesitas C.
Soporte de hardware: Algunas características (ej: XDP con offload) requieren NICs específicas.
Versionado: Las APIs de eBPF evolucionan rápido. Lo que funciona en kernel 5.10 puede no funcionar en 5.4.
Seguridad del verificador: Aunque robusto, ha habido vulnerabilidades (CVE-2021-3490). Mantén el kernel actualizado.

Hoja de ruta para SysAdmin avanzado

Empieza con herramientas existentes: bpftrace, bcc, cilium.
Aprende los conceptos: mapas, hooks, verificador.
Escribe tu primer programa: Un contador de syscalls o un filtro de red simple.
Integra con monitoreo: Exporta métricas eBPF a Prometheus vía bpf2prom o ebpf_exporter.
Implementa políticas de seguridad: Usa Cilium para redes y Falco (basado en eBPF) para detección de amenazas.

# Exportar métricas de eBPF a Prometheus con ebpf_exporter
docker run -d --name ebpf_exporter \
  -v /sys/kernel/debug:/sys/kernel/debug:ro \
  -v /proc:/host/proc:ro \
  -p 9435:9435 \
  quay.io/ebpf_exporter/ebpf_exporter:latest

Conclusión

eBPF ha transformado la relación del SysAdmin avanzado con el kernel. Ya no eres un mero operador de cajas negras; puedes observar, depurar y proteger cada syscall, cada paquete de red, cada acceso a archivo. La observabilidad kernel ya no es un lujo, sino una capacidad al alcance de un comando bpftrace. Y la seguridad eBPF permite construir defensas a nivel kernel que antes requerían parches o módulos frágiles.

La inversión en aprender eBPF no solo mejora tu capacidad de respuesta ante incidentes, sino que te prepara para el futuro de la infraestructura cloud-native. Si aún no has explorado eBPF, hoy es el mejor momento para empezar.

[INFO] Para profundizar, consulta la documentación oficial de BPF and XDP Reference Guide y el repositorio de bcc.