1. 课程导论：eBPF技术背景、节点池安全巡检的痛点、Helm与流量审计集成的价值

1.1 eBPF 技术背景：从内核可观测性到安全基石

eBPF（extended Berkeley Packet Filter）是一项革命性的 Linux 内核技术，允许用户在无需修改内核源码或加载内核模块的情况下，安全、高效地注入自定义的沙箱程序。eBPF 程序通过内核验证器（Verifier）确保安全性，并由即时编译器（JIT）编译为原生机器码，性能接近原生内核代码。

在云原生安全领域，eBPF 的核心优势在于：

• 零侵入观测：无需 Sidecar、无需修改应用代码，即可捕获系统调用、网络数据包、文件操作等全量事件。
• 上下文丰富：eBPF 程序运行在内核态，能获取进程 PID、容器 ID、cgroup、命名空间等完整上下文，天然适配 Kubernetes 环境。
• 高性能过滤：通过 BPF 映射（Map）和尾调用（Tail Call）机制，实现微秒级的数据过滤与聚合，远优于用户态抓包方案。

1.2 节点池安全巡检的痛点：传统方案的三大困境

在 Kubernetes 集群中，“节点池”（Node Pool）是承载工作负载的算力单元集合。对节点池进行安全巡检，意味着需要持续监控每个节点上的容器运行时行为、网络流量、配置合规性以及内核级异常。传统方案面临以下核心痛点：

1.3 Helm 与流量审计集成的价值：自动化、标准化、可观测

Helm 作为 Kubernetes 的包管理工具，为 eBPF 安全巡检组件的部署提供了声明式、可版本化、可配置的标准化方案。将流量审计能力与 Helm 集成，带来以下核心价值：

• 一键部署与升级：通过 Helm Chart 定义 eBPF Agent、审计规则、数据导出管道（如 Kafka/Elasticsearch），实现节点池级别的安全组件标准化交付。
• 配置即策略：审计规则（如哪些系统调用需要记录、哪些网络端口需要监控）通过 values.yaml 声明，支持环境差异化（开发/预发/生产），避免手动修改 DaemonSet。
• 流量审计闭环：eBPF 捕获的网络流量数据（L3-L7）经过聚合、去重、协议解析后，输出为结构化审计日志，与 SIEM/SOAR 系统集成，形成“检测-响应-溯源”闭环。
• 节点池亲和性：利用 Helm 的 NodeSelector / Tolerations 机制，将安全 Agent 精准调度到指定节点池（如 GPU 池、高安全等级池），实现差异化巡检策略。

1.4 课程核心目标与学习路径

本课程将带领学员从零搭建一套基于 eBPF 的节点池安全巡检系统，并通过 Helm 实现标准化部署与流量审计集成。课程覆盖以下关键能力：