eBPF：Linuxカーネルのオブザーバビリティを実現する高パフォーマンスな手法

Table of Contents

従来のLinuxモニタリングが大規模環境で通用しない理由

top、netstat、tcpdumpといった標準ツールは、数十年にわたりシステム管理業務の柱となってきました。しかし、マイクロサービスや高密度のコンテナが密集する現代の環境では、これらのツールはしばしば力不足に陥ります。サーバーのCPU使用率が90%に達しているのに、topを見ても原因となるプロセスが見当たらないといった状況に遭遇することがあります。これは、従来のツールがポーリング間隔の間に開始・終了する「マイクロバースト」や短命なプロセスを見逃してしまうことが多いために起こります。

ほとんどのモニタリングユーティリティはユーザー空間で動作します。これらは/procファイルシステムからデータを取得しますが、これはカーネルに対して1秒ごとにステータスの更新を問い合わせているようなものです。このアプローチはリアクティブ（事後的）であり、可視化にタイムラグが生じます。パケットがドロップされる正確な理由や、read()システムコールの所要時間を正確に把握するためには、以前は2つの選択肢しかありませんでした。カーネルのソースコードを修正するか、リスクのあるカーネルモジュールをロードするかです。どちらも本番環境においては時間がかかり、危険な作業です。

ここでパラダイムシフトを起こすのがeBPF（extended Berkeley Packet Filter）です。eBPFを使用すると、カーネル内でサンドボックス化されたプログラムを実行できます.ソースコードを1行も変更する必要はなく、マシンの再起動も不要です。これにより、カーネルをプログラム可能なエンジンへと変貌させます。

カーネルモジュール vs. eBPF：安全性の比較

eBPFの価値を理解するには、カーネルを拡張する従来の手法であるLinuxカーネルモジュール（LKM）について知る必要があります。

従来のモジュールのリスク

カーネルモジュールは強力ですが、本質的に脆弱です。これらはフル権限で動作するため、たった一つのヌルポインタ参照エラーや軽微なメモリリークが「カーネルパニック」を引き起こし、システム全体を瞬時にクラッシュさせる可能性があります。さらに、モジュールは特定のカーネルバージョンに密接に依存しています。カーネルを5.10から5.15にアップデートした場合、互換性を維持するためにモジュールのフル再コンパイルが必要になることがよくあります。

eBPFのセーフティネット

対照的に、eBPFはカーネル内の制限された仮想マシン（VM）上でプログラムを実行します。コードが実行される前に、ベリファイア（Verifier）を通過する必要があります。このゲートキーパーは、無限ループや不正なメモリアクセスがないかをチェックします。コードが少しでも安全でないと判断されれば、カーネルはそれを拒絶します。これにより、ユーザー空間のような安全性とカーネルレベルのパフォーマンスを両立できます。私の経験上、カスタムのC言語モジュールと比較して、本番環境のダウンタイムリスクをほぼゼロに抑えることができます。

機能	カーネルモジュール (LKM)	eBPF
安全性	低（システムをクラッシュさせる可能性がある）	高（カーネルによって検証される）
パフォーマンス	ネイティブ	ネイティブに近い（オーバーヘッド1%未満）
使いやすさ	複雑なC言語プログラミング	利用しやすい（Python/Go/C）
ポータビリティ	バージョンに依存	高（BTFおよびCO-REによる）

eBPF導入における実用的なトレードオフ

eBPFは効率性がありますが、万能薬ではありません。本番環境に導入するには、いくつかの具体的な制約を理解しておく必要があります。

利点

細密なオブザーバビリティ：ネットワークスタックの遷移からディスクI/Oまで、あらゆる関数呼び出しをトレースできます。これにより、システム全体の挙動をフルスタックで把握できます。
効率性：tcpdumpのようなツールは、分析のためにすべてのパケットをユーザー空間にコピーするため、10Gbpssのリンクではパフォーマンスが大幅に低下する可能性があります。eBPFはカーネル内で直接データを処理し、CPUに到達する前に不要なデータを破棄します。
リアルタイムセキュリティ：悪意のあるシステムコールを単にログに記録するだけでなく、即座にブロックするポリシーを作成できます。

制約

モダンなカーネルの要件：基本機能を使用するにはLinuxカーネル 4.18以上が必要です。高度なネットワーキングや最適な開発体験を得るには、5.4以降が標準となります。
技術的な複雑さ：ヘルパーライブラリがあっても、kprobesやtracepointsといったカーネルのフックを理解する必要があります。Linuxの内部構造に関する知識がないチームにとって、導入してすぐに使える「プラグアンドプレイ」なソリューションではありません。

はじめに：BCCと bpftrace

生のバイトコードを書くのはエキスパートの仕事です。ほとんどのエンジニアは、複雑な処理を簡素化してくれるフレームワークを使用します。これから始める方は、次の2つのツールに注目してください：

BCC (BPF Compiler Collection)：PythonやLuaを使用して、複雑で恒久的なモニタリングツールを構築する場合に使用します。
bpftrace：アドホックなトラブルシューティングに最適な高レベル言語です。AWKを知っていれば、すぐに馴染めるでしょう。

インストール

UbuntuやDebianでは、数秒で環境を構築できます：

sudo apt update
sudo apt install -y bpfcc-tools linux-headers-$(uname -r) bpftrace

注意点として、スクリプトは必ずステージング環境でテストしてください。eBPF VMは安全ですが、トラフィックの多い10Gbpsインターフェースですべてのパケットをログに記録するような不適切なスクリプトを書くと、ディスクが一杯になったり、CPU使用率がわずかに上昇したりする可能性があります。まずは小規模から始め、フィルターを洗練させていきましょう。

実践例：ファイル削除の追跡

正体不明のプロセスが設定ファイルを削除している状況を想像してみてください。標準のログでは、誰がそれを行ったか分からない場合があります。eBPFを使えば、これを即座に解決できます。

bpftraceのワンライナー

リアルタイムで発生するすべての unlink（ファイル削除）システムコールを表示するには、次を実行します：

sudo bpftrace -e 'tracepoint:syscalls:sys_enter_unlink* { printf("%s (PID %d) がファイルを削除しています\n", comm, pid); }'

このコマンドは、削除に関するカーネルのトレースポイントをフックします。プロセス名（comm）とID（pid）を即座に表示します。もう推測に頼る必要はありません。

BCCによるカスタムモニタリング

ディレクトリによるフィルタリングやELKスタックへのデータ送信など、より複雑なロジックが必要な場合はBCCを使用します。以下は、新しいプロセスが開始されるたびに（execve システムコール）トリガーされるPythonスニペットです：

from bcc import BPF

# eBPFカーネルコード
program = """
int hello(void *ctx) {
    bpf_trace_printk("プロセスが開始されました！\n");
    return 0;
}
"""

# execveシステムコールにアタッチ
b = BPF(text=program)
b.attach_kprobe(event=b.get_syscall_fnname("execve"), fn_name="hello")

print("モニタリング中... 中止するには Ctrl+C を押してください。")
b.trace_print()

プロセスが起動するたびに、カーネルは program 文字列内のCコードを実行します。Pythonラッパーは、カーネルのトレースパイプからそれらのメッセージを読み取り、表示します。

成功のための重要なポイント

モニタリングロジックをカーネルに移行することは、大きなアップグレードです。システムの安定性を維持するために、以下のガイドラインに従ってください：

トレースポイントを優先する：可能な限りKprobesよりもTracepointsを使用してください。Tracepointsは安定しています。Kprobesは、カーネルのアップデート時に変更される可能性のある内部関数をフックします。
オーバーヘッドを監視する：単にアクティブなCPU使用率を見るのではなく、BCCスイートの offcputime を使用して、プロセスがどこで待機状態になっているかを特定してください。
BTFを活用する：BPF Type Format (BTF) を使用して、カーネルバージョンごとに再コンパイルすることなく、ツールが異なる環境で動作するようにします。

eBPFを使用することで、カーネルをブラックボックスとして扱う必要がなくなります。従来のツールでは決して見ることができなかった複雑なパフォーマンス問題をデバッグするために必要な透明性が得られます。