前面我们讨论了Tetragon产品实时阻断实现原理，那你知道它为什么没选择eBPF LSM吗？ bpf_send_signal颗粒度是进程，而eBPF LSM的颗粒度是函数，更精确，控制范围也不一样，可以对函数调用堆栈做调整，达到替换执行的目标函数。业务场景就是对于漏洞的热更新了。本文就是一个简单的eBPF LSM实现思路，核心内容是确定精准HOOK点的思路。怎么找HOOK点？HOOK点挂载后，对性能影响是什么？如何做权衡？接下来，我们一起了解一下。
tetragon
Tetragon进程阻断原理
文章较长，可直接看文末视频。5月份Isovalent发布了基于eBPF技术的运行时实时防御产品Tetragon，引起业内广泛关注，实时阻断能力也受到很大争议，并被传统安全厂商EXP绕过挑战。今天我们一起来看下阻断能力的技术原理。