本文是在kernel space内核态，hook内核态函数，更改内核态返回用户态缓冲区数据，欺骗用户态进程，实现容器逃逸与rootkit。用户态进程拿到被篡改的数据，从而被骗通过认证。在此过程，不改变任何文件、进程、网络行为，不产生日志。 常规HIDS、HIPS产品无法感知。
内核态
datadog的eBPF安全检测机制分析
datadog的system-probe模块使用了eBPF技术研发，实现了网络管理、运行时安全、系统状态感知等几个功能，支持运维管理、安全检测两个场景。其中核心模块在网络与运行时安全两个场景。故本文重点分析了这两个场景的技术实现与业务特性。
[译]使用eBPF per-CPU Cgroup本地存储进行低功耗统计
本文使用eBPF per-cpu的map类型，以及cilium的golang eBPF类库实现了对ingress以及egress网络流量的大小统计，以一个最简单demo，实现更精细、高效的监控统计。在容器化下场景下，用更少的资源损耗，完成精准、实时的统计，更能符合场景需求。