BPF技术：原理、应用与实践探索

1. BPF LSM钩子概述

为了实现对系统事件的架构无关控制，Linux安全模块（LSM）引入了钩子（hooks）的概念。从技术角度看，钩子调用类似于系统调用，但它独立于系统且与LSM框架集成，这种抽象层带来了便利，避免了在不同架构下使用系统调用时可能出现的问题。

目前，内核中有七个与BPF程序相关的钩子，且只有SELinux这个内核内置的LSM实现了这些钩子。这些钩子在include/linux/security.h文件中定义如下：

extern int security_bpf(int cmd, union bpf_attr *attr, unsigned int size); extern int security_bpf_map(struct bpf_map *map, fmode_t fmode); extern int security_bpf_prog(struct bpf_prog *prog); extern int security_bpf_map_alloc(struct bpf_map *map); extern void security_bpf_map_free(struct bpf_map *map); extern int security_bpf_prog_alloc(struct bpf_prog_aux *aux); extern void security_bpf_prog_free(struct bpf_prog_aux *aux);

这些钩子在执行的不同阶段被调用，具体功能如下表