버클리 패킷 필터

1. 본문

버클리 패킷 필터(Berkeley Packet Filter, BPF)는 운영체제 수준에서 네트워크 패킷을 캡처하고 필터링할 수 있도록 해주는 기술입니다. BPF는 다음을 제공합니다.

• 네트워크 탭: 데이터 링크 계층에 대한 원시 인터페이스를 제공하여 원시 링크 계층 패킷을 송수신할 수 있습니다.
• 패킷 필터: 사용자 공간 프로세스가 수신하려는 패킷을 지정하는 필터를 설정할 수 있습니다. 이를 통해 불필요한 패킷 처리를 줄여 성능을 향상시킬 수 있습니다.

BPF는 침입 탐지 시스템, 네트워크 성능 분석 도구, 패킷 스니퍼 등 다양한 네트워크 관련 응용 프로그램에서 사용됩니다.
BPF의 역사 및 발전

• BPF는 원래 1992년 Lawrence Berkeley National Laboratory의 Steven McCanne과 Van Jacobson에 의해 개발되었습니다.
• 초기 BPF는 주로 네트워크 패킷 필터링에 초점을 맞췄습니다.
• 리눅스에서는 BPF를 확장하여 Linux 소켓 필터링 (LSF)이라고도 합니다.
• 최근에는 eBPF(extended BPF)로 발전하여 커널 내에서 더 다양한 작업을 수행할 수 있게 되었습니다. 예를 들어, 패킷 스케줄링, 시스템 호출 필터링, 성능 프로파일링 등에도 사용될 수 있습니다.

BPF 필터 예시 (IBM에서 발췌)```

dst host 192.168.1.0 // 대상 호스트가 192.168.1.0인 패킷

src host 192.168.1 // 소스 호스트가 192.168.1인 패킷

host 192.168.1.0/24 // 호스트가 192.168.1.0/24 네트워크에 속하는 패킷

```
eBPF (Extended BPF)eBPF는 BPF를 확장한 것으로, 커널 공간에서 사용자 정의 프로그램을 실행할 수 있게 해줍니다. 이를 통해 커널을 수정하거나 모듈을 로드하지 않고도 커널 기능을 확장하고 커스터마이징할 수 있습니다. eBPF는 보안, 네트워킹, 모니터링 등 다양한 분야에서 활용되고 있습니다.