Fox Ear: 基于 eBPF 的 Linux 进程行为监控

[kernelerror]

Hello 大家好，今天来分享我制作的一款 Linux 进程行为监控软件 Fox Ear 。目前支持监控一个进程和其衍生出来的全部子进程的如下行为：

• 创建进程
• 文件访问
• TCP 连接创建

输出演示：

进程间关系图

TCP IPv4 连接

GitHub: https://github.com/KernelErr/foxear

Example （推荐看看）: https://github.com/KernelErr/foxear/blob/main/docs/example.md

[jingslunt]

eBPF 应用前景挺可观的，比如以后 istio 很可能走这条路

[2i2Re2PLMaDnghL]

想先问下，对比 strace （及其输出的二次处理）有什么优势（包括潜在的优势）。
strace 可以在普通权限下执行来着，而且目前来说已经可以读取 TCP 的内容（粒度为每次 syscall ）。

[tinybaby365]

ebpf 很强大，而且会越来越强大！

[VVVYGD]

很不错，eBPF 是未来网络监控的一把利器。

[yqf0215]

能关联到程序、uid ，很有用。如果有 golang 版就好了，golang 部署很方便