云安全联盟大中华区发布《云原生可观测性技术研究与应用》（以下简称报告），报告深入探讨了在云原生领域可观测性的底层技术、架构设计、成熟度模型，阐述了在云原生场景使用eBPF技术完成可观测性数据采集的技术实现及优势。此外，报告对云原生可观测性在安全领域的应用和优秀开源项目做了介绍。

可观测性的实现依赖于监控指标/监控度量（Metrics）、事件日志（Logs）和链路追踪（Traces）三种数据类型的有机结合。通过不同维度的信号关联基于大数据分析技术构建是一张三维的元素连接空间地图， 涵盖水平的实体关系拓扑，垂直的依赖关系拓扑。空间地图结合了组件之间的逻辑依赖性、物理邻近性和其他关系，以提供可读的可视化和可操作的关系数据。文中介绍了可观测性典型的五层业务架构（数据源、数据采集层、数据存储层、应用展示层、智能化层）。五层架构可作为可观测性建设的内容，如下图所示：

通过对于eBPF技术深入刨析，详细描述将该技术应用于云原生场景的可观测性数据采集方案。通过新兴技术的使用提升可观测性功能的效率及数据准确性。为云原生技术的发展提供了新的思路和方向。

云原生环境中每台机器(或虚拟机)只有一个内核，所有运行在该机器上的容器都共享同一个内核，内核了解主机上运行的所有应用代码。通过对内核的检测，基于eBPF可以同时检测在该机器上运行的所有应用程序代码。当将eBPF程序加载到内核并将其附加到事件上时，它就会被触发，而不考虑哪个进程与该事件有关。eBPF能够对基于广泛的可能来源的可视化事件的定制指标进行收集和核内聚合。

基于eBPF在操作系统内核特性优势，与OpenTelemetry结合实现云原生观测数据收集处理的架构，极大增强云原生环境可观测性能力。基于eBPF的可观测性架构如下图所示：

报告通过由最基本的监控到最高阶的主动可观测性四个阶段成熟度刨析，解释了可观性处于不同能力阶段可解决的问题以及向更高阶段演进的路线。

报告描述了在故障分析、日志审计、监控、追踪溯源、检测分析等多个安全场景如何运用可观测性技术提高风险检测性能、提升对安全事件溯源追踪、根因分析的能力。旨在为云原生安全领域提供通过基于云原生可观测性技术提高风险检测、威胁分析、安全防护、故障告警等能力的最佳实践。

基于eBPF的容器运行时检测如下图所示：

此外，报告中介绍了三个成功的开源项目供读者参考。有利于借助典型开源项目推动云原生可观测性技术实践。