eBPF（Extended Berkeley Packet Filter）是一種在核心空間中高效執行位元組碼的技術，用於監視和分析核心事件。它最初設計用於網路報文過濾，但現在已經發展成為核心頂級的子系統，成為一個通用的執行引擎。eBPF的核心組件包括用戶空間程式和核心程式，用戶空間程式負責將BPF位元組碼載入到核心，並可以讀取核心返回的統計信息或事件詳情；核心中的BPF位元組碼負責在核心中執行特定事件，並將結果傳送到用戶空間。
eBPF的工作原理可以概括為以下幾個步驟：
編寫和編譯BPF代碼。使用LLVM或GCC等工具將BPF代碼編譯成BPF位元組碼。
載入位元組碼到核心。使用載入程式將位元組碼載入到核心。
核心驗證和執行。核心使用驗證器確保位元組碼的安全性，安全通過後，在核心模組中執行。
數據回傳用戶空間。核心中的BPF位元組碼可以使用maps或perf-event將數據回傳到用戶空間，用戶空間程式讀取和分析這些數據。
eBPF的安全性主要通過驗證器組件來保證，它會將待執行的指令創建為一個有向無環圖(DAG)，並模擬指令的執行過程，確保不執行無效指令。此外，eBPF提供了豐富的指令集和暫存器，使其能夠執行複雜的監控和分析任務。