eBPF（extended Berkeley Packet Filter） とは？

例えるなら「OSの中核部分にプラグインを差し込む技術」だよ。ふつうOSの中核（カーネル）に機能を足すには、カーネルのソースを変えるか、カーネルモジュールを読み込む必要があるんだ。eBPFを使うと、そのどちらもせずに、自分のプログラムをカーネルの中で動かせるよ

そのためにベリファイア（検証器）があるよ。プログラムを読み込む前に「必ず最後まで実行が終わるか（永久に回り続けないか）」「初期化していないメモリや範囲外にアクセスしないか」などを調べて、通らないものは読み込まない仕組みなんだ。それに、読み込むには原則として特権（rootなど）が必要だよ。ただ、これで絶対に安全というわけではないから、誰が読み込めるかの管理は別に必要だね

大きく3つの分野があるよ。ネットワーク（パケット処理やロードバランシング）、セキュリティ（不審な動作の検知）、観測（性能の計測やトレース）。たとえばCiliumは、eBPFを使ってKubernetesのネットワークとセキュリティ、観測を実現するプロジェクトだよ

もとになったBPFは、1992年12月付の論文で示されたパケットフィルタだったんだ。それを拡張したeBPFを操作するbpf()システムコールは、Linux 3.18で入ったよ。もとのBPF（クラシックBPF）と違って、カーネルの補助関数を呼んだり、「マップ」というデータ構造でユーザー空間のプログラムとデータをやり取りしたりできるから、用途がパケット以外に広がったんだね