[제136회 정보관리기술사 1교시 10번] eBPF(Extended Berkeley Packet Filter) — 커널을 수정하지 않고 커널을 프로그래밍하다

1. 개념

eBPF란 리눅스 커널 소스 코드 수정 없이, 커널 내에서 사용자 정의 프로그램을 안전하게 실행할 수 있는 가상 머신(VM) 기반의 커널 확장 메커니즘입니다. 기존 BPF(패킷 필터링)를 범용 커널 프로그래밍 플랫폼으로 확장했습니다.

Netflix, Google, Meta 등이 커널 모듈 대신 eBPF로 수천만 대 서버를 운영하며 혁신적 가시성·성능을 실현하고 있습니다.

2. 동작 원리

• 검증기(Verifier): 프로그램 로드 시 무한 루프·메모리 오염 등 안전성 정적 검증. 위험 코드는 거부
• JIT 컴파일: eBPF 바이트코드를 네이티브 기계어로 변환하여 인터프리터 없이 고속 실행
• 훅 포인트: 시스템 콜·네트워크 패킷·함수 진입·종료 등 커널 이벤트 발생 시 자동 실행
• 맵(Map): 커널-유저스페이스 간 데이터 공유 구조체 (해시맵·배열·링버퍼 등)

3. 주요 활용 분야