笔者在学习eBPF技术期间，收集了很多高质量的PDF，覆盖网络安全、网络编排、运维监控、性能抽样、调试跟踪等场景，所谓吃水不忘挖井人，在这里分享给大家，帮助大家一起成长。
所谓技术
内核态eBPF程序实现容器逃逸与隐藏账号rootkit
本文是在kernel space内核态，hook内核态函数，更改内核态返回用户态缓冲区数据，欺骗用户态进程，实现容器逃逸与rootkit。用户态进程拿到被篡改的数据，从而被骗通过认证。在此过程，不改变任何文件、进程、网络行为，不产生日志。 常规HIDS、HIPS产品无法感知。
datadog的eBPF安全检测机制分析
datadog的system-probe模块使用了eBPF技术研发，实现了网络管理、运行时安全、系统状态感知等几个功能，支持运维管理、安全检测两个场景。其中核心模块在网络与运行时安全两个场景。故本文重点分析了这两个场景的技术实现与业务特性。
Cilium eBPF实现机制源码分析
通过笔者的分析学习，可以宏观的了解到Cilium在eBPF内核技术使用时，场景覆盖网络处理的XDP、TC、SOCKET等L3、L4、L7层，业务覆盖防火墙、网络路由、网络隔离、负载均衡等。通过集中式管理eBPF文件源码，下发到各endpoint分发式编译挂载。调试日志作为eBPF map事件统一收集处理。 支持用户态、内核态相互之间用eBPF map做双向通讯，实现策略下发与数据收集。具备数据对账、监控告警能力。
[译]使用eBPF per-CPU Cgroup本地存储进行低功耗统计
本文使用eBPF per-cpu的map类型，以及cilium的golang eBPF类库实现了对ingress以及egress网络流量的大小统计，以一个最简单demo，实现更精细、高效的监控统计。在容器化下场景下，用更少的资源损耗，完成精准、实时的统计，更能符合场景需求。
[译]使用eBPF（绕过 TCP/IP）加速云原生应用程序的经验教训
本文对比了eBPF绕过TCP/IP栈与普通TCP协议两种模式下，网络通讯的吞吐量、延迟、事务量等指标。译者以边学边练的方式来学习额BPF新内核知识，并以网络安全产品研发的视角，结合容器化编排领域发展趋势，谈主机安全产品HIDS的演进方向。
[转] 写给工程师：关于证书（certificate）和公钥基础设施（PKI）的一切
证书（certificates）与 PKI（public key infrastructure，公钥基础设施）很难。我认识的很多非常聪明的人也会绕过这一主题。 我个人也很长时间没去碰这些内容，但说起来很讽刺，我没去碰的原因是不懂，所以不好意思问 —— 然后更不懂，自然更不好意思问——如此形成恶性循环，最终我还是硬着头皮学习了这些东西，因为我觉得PKI 能使一个人在加解密层面（乃至更大的安全层面）去思考如何定义一个系统。
How I investigated memory leaks in Go using pprof on a large codebase
TLS handshake Fatal Alert Close Notify的错误排查
有时候，需要了解在应用程序内部正在发生的情况。例如，应用程序可能会运行失败，而又没有显示有帮助的错误消息，或者系统服务没有按照预期的方式运行。在这些情况下，您可能不掌握应用程序源代码，因此无法通过传统的调试过程寻找问题的原因。跟踪提供了一种替代方法。
