Kernel Patch 없이 Safe하게 커널 내부 Observability를 구현하는 eBPF 아키텍처

Context

기존 Linux Kernel의 동작 변경을 위해서는 소스 코드 수정과 엄격한 리뷰 프로세스를 거치는 Kernel Patch 과정이 필수적임. 이로 인해 신규 기능 반영 및 버그 수정에 막대한 시간이 소요되며, 커널 패닉으로 인한 시스템 전체 다운타임 리스크가 상존함.

Technical Solution

• BPF의 Packet Filtering 메커니즘을 확장하여 커널 내 임의의 지점에 Hook을 설치하는 eBPF 구조 채택
• 커널 소스 수정 없이 실행 중인 시스템에 동적으로 프로그램을 로드하여 런타임에 동작 변경 가능
• Verifier를 통한 정적 분석으로 무한 루프 및 잘못된 메모리 접근을 사전에 차단하여 커널 안정성 보장
• JIT 컴파일러를 통해 eBPF 바이트코드를 네이티브 머신 코드로 변환하여 커널 수준의 실행 성능 확보
• 사용자 공간(User-space)과 커널 공간(Kernel-space) 간의 효율적인 데이터 전송을 위한 Map 구조 활용