微软启动新的开源项目 将Linux工具eBPF引入Windows

Posted 2021-05-16 黑白之道

文章来源：cnBeta.COM

微软启动了一个新项目，目的是将Linux内核工具eBPF（扩展伯克利包过滤）引入Windows。该公司坚持认为，让该技术在Windows中运行的举措并不代表创建一个eBPF的分叉。相反，它将使用现有的项目，包括IOVisor uBPF项目和PREVAIL验证器在自己的操作系统上运行eBPF程序和API--特别是Windows 10和Windows Server 2016或以上。

对于Windows上的eBPF来说，现在依然是处于非常早期的阶段，因为微软才刚刚启动这个项目。因此，很难了解开发的速度且官方还没有公布时间表。在该项目的GitHub页面上，微软表示，其目的是 "为使用跨操作系统生态系统的通用钩子和辅助工具的代码创建源代码兼容性"。

由于它能够在Linux内核中运行沙盒程序，而不需要改变内核源代码或加载内核模块，该技术对众多安全应用来说是完美的。

eBPF是一项著名的技术，可以提供可编程性和敏捷性，特别是用于扩展操作系统内核，用于DoS保护和可观察性等用例。这个项目是一项正在进行的工作，它允许使用Linux生态系统中熟悉的现有eBPF工具链和API在Windows之上使用。也就是说，这个项目将现有的eBPF项目作为子模块，并在其间添加一层，使其在Windows之上运行。

在关于该技术的FAQ中，该公司指出，"当HVCI被启用时，eBPF程序在解释模式下可以正常工作，但在使用JIT编译时就不行了"。

关于Windows上的eBPF的更多信息可在项目的GitHub页面上找到：

https://github.com/Microsoft/ebpf-for-windows