[정보관리기술사 137회 1교시 9번] eBPF(extended Berkeley Packet Filter)의 개념과 활용

I. 개요

eBPF(extended Berkeley Packet Filter)란 리눅스 커널 내에서 사전 검증된 바이트코드 프로그램을 안전하게 실행할 수 있는 인커널 가상 머신(in-kernel VM)이다. 커널 소스 수정·모듈 재컴파일 없이 커널 훅(kprobe, tracepoint, socket 등)에 사용자 정의 로직을 동적으로 삽입하여 네트워킹·보안·성능 관찰을 수행한다. 커널 4.x 이상부터 지원되며, eBPF 검증기(Verifier)가 무한 루프·메모리 범위 초과를 컴파일 시 차단해 커널 안전성을 보장한다.

II. 기존 커널 모듈과 eBPF 비교

III. 주요 활용 분야

IV. eBPF 프로그램 실행 흐름

① C 코드 작성 → ② LLVM/Clang으로 BPF 바이트코드 컴파일 → ③ bpf() 시스템콜로 커널에 로드 → ④ Verifier 안전성 검증(타입·경계 검사) → ⑤ JIT 컴파일러로 네이티브 기계어 변환 → ⑥ 이벤트 훅(kprobe·tracepoint·XDP 등)에 attach → ⑦ 이벤트 발생 시 커널에서 직접 실행 → ⑧ BPF Map으로 커널↔사용자 공간 데이터 공유

V. 결론 및 기술사 관점

eBPF는 커널 수정 없이 OS 기능을 프로그래밍 방식으로 확장하는 혁신적 기술로, 클라우드 네이티브 환경의 관찰가능성·보안·네트워킹 분야에서 빠르게 표준화되고 있다. CO-RE 지원으로 배포 복잡도가 해소되면서 엔터프라이즈 도입이 가속화되고 있으며, eBPF Foundation(Linux Foundation 산하)을 통한 생태계 표준화가 진행 중이다.

eBPF가 관측·보안·네트워킹에 쓰이는 이유

eBPF는 커널 소스를 고치거나 모듈을 올리지 않고도 커널 안에서 작은 프로그램을 안전하게 실행하게 해 주는 기술입니다. 프로그램은 로드 전에 verifier가 무한 루프나 잘못된 메모리 접근이 없는지 검사하고, 통과하면 JIT 컴파일되어 네이티브에 가까운 속도로 동작합니다.

프로그램은 시스템 콜, 네트워크 패킷 수신, 함수 진입 같은 훅(kprobe, tracepoint, XDP 등)에 붙고, 수집한 데이터는 eBPF 맵을 통해 사용자 공간 도구로 전달됩니다. 애플리케이션을 수정하지 않고 시스템 전체를 들여다볼 수 있다는 점이 가장 큰 매력입니다.

• 네트워킹: Cilium 같은 쿠버네티스 CNI가 eBPF로 패킷 처리와 정책 적용을 수행합니다.
• 보안: Falco 등 런타임 보안 도구가 의심스러운 시스템 콜을 탐지하는 데 eBPF 기반 수집을 지원합니다.
• 관측성: bpftrace로 지연 원인을 즉석에서 추적하거나, 코드 수정 없이 요청 흐름을 수집하는 도구에 쓰입니다.
• 한계: 커널 버전과 기능 의존성, 로딩에 필요한 권한(CAP_BPF 등), 프로그램 복잡도 제한이 있습니다.

※ 이 글은 학습·참고용 정리입니다. 제품 사양과 표준 개정 사항은 공식 문서에서 최신 내용을 확인하세요.