Wazuh项目中FIM模块eBPF队列性能优化实践

摘要

本文详细记录了Wazuh安全监测平台中文件完整性监控(FIM)模块对eBPF队列架构的优化过程。通过两种不同的队列设计方案对比测试，我们显著提升了事件处理效率并降低了内存消耗，为大规模部署环境提供了更优的性能表现。

背景

Wazuh作为一款开源的安全监测解决方案，其文件完整性监控(FIM)模块负责检测系统中的文件变更。在支持who-data功能的场景下，eBPF程序需要高效处理大量内核事件，这对事件队列的设计提出了严峻挑战。

技术方案对比

原始方案分析

原始实现采用两级队列架构：

1. 内核环形缓冲区接收原始事件
2. 中间队列存储预处理后的who-data事件

这种设计存在内存占用高、事件丢失率较高等问题，在压力测试中仅能捕获约35%的事件。

优化方案一：简化队列架构

第一套优化方案移除了中间队列，直接在环形缓冲区回调函数中完成：

• 配置过滤检查
• who-data事件对象构造
• 最终队列推送

测试数据显示：

• 双核环境下捕获率提升至37.5%
• 内存峰值约42MB
• 平均CPU占用约109%

优化方案二：动态事件处理

第二套方案进一步优化：

1. 在回调中仅构造轻量级动态事件结构体
2. 延迟执行who-data事件对象的完整构造
3. 使用std::string替代原始指针管理字符串

性能表现显著提升：

• 单核环境下实现100%事件捕获
• 内存峰值稳定在45MB左右
• 四核环境处理时间缩短至14秒

关键技术点

内存管理优化

采用std::unique_ptr配合自定义删除器，确保资源自动释放：

struct whodata_deleter {
    void operator()(whodata_evt* evt) const {
        free(evt->path);
        free(evt->process_name);
        // 其他资源释放...
        free(evt);
    }
};

事件结构轻量化

设计精简的动态事件结构体：

struct dynamic_file_event {
    std::string filename;
    std::string cwd;
    std::string parent_cwd;
    // 其他元数据字段...
    uint32_t pid;
    uint32_t ppid;
    // 其他数值型字段...
};

性能对比数据

处理能力对比

指标	原始方案	方案一	方案二
事件捕获率	35%	37.5%	100%
峰值内存(MB)	50	42	45
处理时间(秒)	25	16	14

多核扩展性

方案二展现出良好的多核扩展能力：

• 双核环境：处理时间18秒
• 四核环境：处理时间14秒 CPU利用率随核心数增加线性提升，最高达173%

实施建议

1. 生产环境部署：推荐采用方案二的动态事件处理架构
2. 资源配置：
   • 至少分配2个CPU核心
   • 预留50MB内存缓冲区
3. 监控指标：
   • 队列积压情况
   • 事件丢失告警
   • CPU/内存使用趋势

结论

通过重构eBPF事件处理流水线，Wazuh FIM模块实现了显著性能提升。动态事件处理方案不仅保证了100%的事件捕获率，还展现出优秀的多核扩展能力，为大规模企业部署提供了可靠保障。未来可进一步优化字符串处理效率，探索零拷贝技术在下游队列的应用。