使用 eBPF 追踪系统调用延迟的工程实践

发表于：2024-11-28|最后更新：2024-12-02|分类：安全与运维|阅读：1891 次

在生产环境中，系统调用（Syscall）往往是定位性能瓶颈的第一现场。传统 strace 通过 ptrace 机制实现，会带来数十倍的性能损耗，而基于 eBPF 的追踪方案开销通常低于 1%。

一、基于 tracepoint 的延迟统计

SEC("tracepoint/syscalls/sys_enter_openat")
int trace_enter_openat(struct trace_event_raw_sys_enter *ctx) {
    u64 pid = bpf_get_current_pid_tgid();
    u64 ts = bpf_ktime_get_ns();
    start_time.update(&pid, &ts);
    return 0;
}

通过 start_time 哈希表记录入口时间戳，在 sys_exit_openat 中计算差值并写入直方图（Histogram），即可在不修改内核源码的前提下实现毫秒级的系统调用画像。