Wazuh项目中eBPF与Auditd在FIM性能测试中的对比分析

背景与测试目标

文件完整性监控（FIM）是安全防护体系中的重要组件。Wazuh项目作为开源安全解决方案，近期引入基于eBPF技术的who-data模式作为传统auditd的替代方案。本文通过对比测试，分析两种方案在事件捕获能力、资源消耗及处理效率上的表现差异，为技术选型提供参考。

测试环境与方法论

测试采用控制变量法，在以下两种硬件配置下执行：

1. AMD平台：Ryzen 7 1700 (8核16线程)
2. Intel平台：i9-12900HK (14核20线程)

测试场景统一采用50,000次文件删除操作（rm /test_folder/*），监控指标包括：

• 事件捕获率：成功记录的事件数量
• CPU消耗：均值与峰值占用
• 内存占用：工作集峰值
• 处理耗时：完成50K操作的总时间

核心数据对比

AMD平台表现

指标维度	Auditd (4核)	eBPF (4核)
事件捕获率	100% (50,000)	100% (50,000)
CPU均值占用	123.91%	124.5%
内存峰值	96.9MB	132.1MB
处理耗时	62秒	26秒

Intel平台表现

指标维度	Auditd (8核)	eBPF (8核)
事件捕获率	100% (50,000)	100% (50,000)
CPU均值占用	106.15%	126.58%
内存峰值	71.4MB	127.3MB
处理耗时	9秒	5秒

技术特性深度解析

Auditd的传统优势

1. 低资源场景稳定性：在1-2核配置下，auditd表现出更稳定的事件捕获能力（AMD平台48,900 vs eBPF 22,967）
2. 内存控制：内存占用普遍低于eBPF方案，尤其在低端硬件上差异显著（AMD平台96.9MB vs 132.1MB）

eBPF的技术突破

1. 事件处理时效性：采用内核级事件触发机制，Intel平台处理速度提升44%（9秒→5秒）
2. 高并发适应性：随着核心数增加，事件丢失率显著降低（4核时达到100%捕获）
3. 现代硬件利用率：在Intel混合架构上表现出更好的核心调度能力

工程实践建议

1. 边缘设备部署：建议1-2核设备优先采用auditd方案，避免eBPF可能的事件丢失
2. 云原生环境：推荐eBPF方案，其快速响应特性更适合动态容器环境
3. 混合架构优化：12代Intel及以上CPU建议启用eBPF，配合线程调度器可获得最佳性能

未来优化方向

测试暴露出eBPF在内存管理上的改进空间，建议关注：

• 环形缓冲区大小的动态调节
• 用户态事件处理程序的批处理优化
• 针对ARM架构的指令集优化

通过本次测试可以看出，Wazuh的eBPF实现已在处理速度上建立优势，后续版本需在资源消耗和稳定性上进一步打磨，以全面超越传统方案。