这是一本系统讲解如何使用eBPF技术构建云原生安全防线的著作，是一本面向eBPF技术爱好者和云安全领域从业者的实战宝典，从原理与实践角度详述了eBPF技术在云原生安全领域正在发生的关键作用，是作者多年构筑云原生安全纵深防御经验的总结。 本书详细阐述了eBPF技术的核心原理以及在云原生安全领域的应用价值，并结合大量的代码案例分析，深入探讨了在典型的云原生安全需求场景下使用eBPF技术可以帮助实现的安全功能和实践原理，同时也讲述了可能引入的安全风险，帮助读者从零基础快速了解eBPF技术，开始eBPF安全编程。

前言
第一部分 eBPF助力云原生安全
第1章 云原生安全概述
1.1 云原生安全的挑战
1.1.1 云原生平台基础设施的安全风险
1.1.2 DevOps软件供应链的安全风险
1.1.3 云原生应用范式的安全风险
1.2 云原生安全的演进
1.3 云原生安全的理论基础
1.3.1 威胁建模
1.3.2 坚守安全准则
1.3.3 安全观测和事件响应
1.4 云原生安全的方法论
1.4.1 CNCF云原生安全架构
1.4.2 云原生应用保护平台
1.5 本章小结
第2章 初识eBPF
2.1 eBPF历史
2.2 eBPF的关键特性和应用场景
2.2.1 Linux内核
2.2.2 eBPF的关键特性
2.2.3 eBPF的应用场景
2.3 eBPF的架构
2.4 本章小结
第3章 eBPF技术原理详解
3.1 eBPF“Hello World”程序
3.2 eBPF技术原理
3.2.1 eBPF Map数据结构
3.2.2 eBPF虚拟机
3.2.3 eBPF验证器
3.2.4 bpf()系统调用
3.2.5 eBPF程序和附着类型
3.3 eBPF程序的开发模式
3.3.1 BCC模式
3.3.2 CO-RE+libbpf模式
3.4 本章小结
第4章 eBPF技术在云原生安全领域的应用
4.1 针对云原生应用的攻击
4.2 eBPF和云原生安全的契合点
4.2.1 容器中的基础隔离
4.2.2 传统安全架构
4.2.3 eBPF提升云原生应用运行时安全
4.2.4 eBPF伴随云原生应用生命周期
4.3 eBPF云原生安全开源项目
4.3.1 Falco
4.3.2 Tracee
4.3.3 Tetragon
4.4 双刃剑
4.5 本章小结
第二部分 云原生安全项目详解
第5章 云原生安全项目Falco详解
5.1 项目介绍
5.1.1 功能
5.1.2 使用场景
5.2 安装
5.2.1 使用包管理工具
5.2.2 下载二进制包
5.2.3 Kubernetes环境
5.3 使用示例
5.3.1 规则引擎
5.3.2 告警输出
5.3.3 事件源
5.4 架构和实现原理
5.4.1 架构
5.4.2 驱动
5.4.3 用户态模块
5.5 本章小结
第6章 云原生安全项目Tracee详解
6.1 项目介绍
6.2 安装
6.3 使用示例
6.3.1 事件追踪
6.3.2 制品捕获
6.3.3 风险探测
6.3.4 外部集成
6.4 架构和实现原理
6.4.1 架构
6.4.2 tracee-ebpf实现原理
6.5 本章小结
第7章 云原生安全项目Tetragon详解
7.1 项目介绍
7.2 安装
7.3 使用示例
7.3.1 事件观测
7.3.2 风险拦截
7.4 架构和实现原理
7.4.1 架构
7.4.2 事件观测
7.4.3 风险拦截
7.5 本章小结
第三部分 eBPF安全技术实战
第8章 使用eBPF技术审计和拦截命令执行操作
8.1 审计命令执行操作
8.1.1 基于eBPF Kprobe和Kretprobe实现
8.1.2 基于eBPF Fentry和Fexit实现
8.1.3 基于eBPF Ksyscall和Kretsyscall实现
8.1.4 基于eBPF Tracepoint实现
8.2 拦截命令执行操作
8.2.1 基于bpf_send_signal实现
8.2.2 基于bpf_override_return实现
8.3 本章小结
第9章 使用eBPF技术审计和拦截文件读写操作
9.1 审计文件读写操作
9.1.1 基于eBPF Kprobe和Kretprobe实现
9.1.2 基于eBPF Tracepoint实现
9.1.3 基于eBPF LSM实现
9.2 拦截文件读写操作
9.2.1 基于bpf_send_signal实现
9.2.2 基于bpf_override_return实现
9.2.3 基于eBPF LSM实现
9.3 本章小结
第10章 使用eBPF技术审计和拦截权限提升操作
10.1 审计权限提升操作
10.1.1 基于eBPF LSM实现
10.1.2 基于eBPF Kprobe实现
10.2 拦截权限提升操作
10.3 本章小结
第11章 使用eBPF技术审计和拦截网络流量
11.1 审计网络流量
11.1.1 基于eBPF套接字过滤器实现
11.1.2 基于eBPF TC实现
11.1.3 基于eBPF XDP实现
11.1.4 基于Kprobe实现
11.2 拦截网络流量
11.2.1 基于eBPF TC实现
11.2.2 基于eBPF XDP实现
11.3 本章小结
第12章 为事件关联上下文信息
12.1 进程信息
12.1.1 进程操作事件
12.1.2 网络事件
12.2 容器和Pod信息
12.2.1 进程操作事件
12.2.2 网络事件
12.3 本章小结
第四部分 eBPF安全进阶
第13章 使用eBPF技术审计复杂的攻击手段
13.1 审计使用无文件攻击技术实现的命令执行操作
13.2 审计反弹Shell操作
13.3 本章小结
第14章 使用eBPF技术探测恶意eBPF程序
14.1 恶意eBPF程序
14.1.1 常规程