GitHub의 eBPF 활용법: 배포 안전성을 높이는 커널 기술

GitHub, 배포 중 순환 의존성을 eBPF로 차단하다

GitHub이 자사 배포 시스템에 eBPF(extended Berkeley Packet Filter, 확장 버클리 패킷 필터)를 도입해 배포 스크립트의 순환 의존성(circular dependency)을 커널 수준에서 탐지·차단하는 시스템을 공개했습니다. 6개월간의 롤아웃을 거쳐 현재 프로덕션에서 가동 중이며, 장애 복구 시간(MTTR) 단축에 직접적으로 기여하고 있습니다.

문제: 자기 자신에 의존하는 배포

GitHub은 자사 소스 코드를 github.com에 호스팅합니다. 이는 곧 GitHub이 다운되면 GitHub을 고치기 위한 코드에도 접근할 수 없다는 순환 의존성을 만듭니다. 미러와 롤백용 빌드 에셋으로 기본적인 대비는 되어 있지만, 배포 스크립트 자체가 내부 서비스나 GitHub에서 바이너리를 다운로드하는 경우까지 막기는 어렵습니다.

순환 의존성은 세 가지 유형으로 나뉩니다:

• 직접 의존성: 배포 스크립트가 GitHub에서 오픈소스 도구의 최신 릴리스를 직접 다운로드
• 숨겨진 의존성: 이미 설치된 도구가 실행 시 GitHub에 업데이트 확인 요청
• 전이적 의존성: 배포 스크립트가 호출한 내부 서비스가 다시 GitHub에 의존

기존에는 각 팀이 수동으로 스크립트를 검토했지만, 실제 장애가 발생해야 발견되는 경우가 대부분이었습니다.

해법: eBPF로 프로세스 단위 네트워크 필터링

eBPF는 리눅스 커널에 사용자 정의 프로그램을 로드해 네트워킹, 보안, 모니터링 등 커널 수준 동작을 확장할 수 있는 기술입니다. GitHub 팀은 두 가지 eBPF 프로그램 타입을 조합했습니다.

1단계: cGroup 기반 네트워크 격리

BPF_PROG_TYPE_CGROUP_SKB를 사용해 특정 cGroup(컨트롤 그룹) 내 프로세스의 아웃바운드 트래픽만 선택적으로 모니터링·차단합니다. cGroup은 Docker가 내부적으로 사용하는 리눅스 프리미티브로, 프로세스 집합에 리소스 제한과 격리를 적용합니다.

배포 스크립트만 별도 cGroup에 넣으면, 프로덕션 트래픽에는 영향을 주지 않으면서 배포 코드의 네트워크 접근만 제어할 수 있습니다.

2단계: DNS 프록시를 통한 도메인 기반 차단

IP 기반 차단 목록은 GitHub의 인프라 규모에서 유지 관리가 어렵습니다. 대신 BPF_PROG_TYPE_CGROUP_SOCK_ADDR로 DNS 요청(포트 53)을 가로채 로컬 DNS 프록시로 리다이렉트합니다. 이 프록시가 도메인 차단 목록과 대조해 허용·거부를 결정합니다.

3단계: 프로세스 추적과 디버깅 지원

bpf_get_current_pid_tgid()로 차단된 DNS 요청의 PID를 캡처하고, /proc/{PID}/cmdline을 읽어 어떤 명령어가 차단을 유발했는지 정확히 로그에 기록합니다.

WARN DNS BLOCKED domain=github.com pid=266767 cmd="curl github.com"

이로써 팀은 문제의 원인을 즉시 파악하고 수정할 수 있습니다.

학생과 개발자 지망생이 주목해야 할 포인트

eBPF는 왜 중요한가

eBPF는 클라우드 네이티브 인프라의 핵심 기술로 부상하고 있습니다. Cilium(쿠버네티스 네트워킹), Falco(런타임 보안), Pixie(관찰 가능성) 등 주요 오픈소스 프로젝트가 eBPF 기반이며, 시스템 프로그래밍과 DevOps 역량을 동시에 보여줄 수 있는 기술입니다.

직접 시작해 보기

GitHub 팀이 사용한 cilium/ebpf 라이브러리는 Go 언어로 eBPF 프로그램을 작성·빌드·실행하는 과정을 크게 단순화합니다. go build 한 번으로 eBPF C 코드 컴파일과 Go 바인딩 생성이 자동으로 이루어집니다. docs.ebpf.io의 문서와 예제로 학습을 시작할 수 있고, 직접 코드를 작성하기 전이라면 bpftrace로 시스템 트레이싱을 먼저 경험해 보는 것도 좋습니다.

교육적 시사점

이 사례는 운영체제, 네트워크, 컨테이너 기술이 실무에서 어떻게 결합되는지를 보여주는 좋은 교재입니다. 대학 시스템 프로그래밍 과정에서 배우는 cGroup, 소켓 프로그래밍, 커널 모듈 개념이 실제 대규모 서비스의 안정성 문제를 해결하는 데 직접 활용되고 있습니다.

학생 활용법: cilium/ebpf의 examples 디렉터리에서 cgroup_skb 예제를 로컬 Linux 환경(WSL2 포함)에서 실행해 보세요. 네트워크 패킷을 커널 수준에서 카운팅하는 경험은 시스템 프로그래밍 포트폴리오에 차별화된 프로젝트가 됩니다.

프론트엔드에서도 저수준 최적화는 필수

한편, Palantir의 엔지니어링 팀은 자사 3D 지구본 라이브러리 Zodiac에서 극지방 타일 렌더링 성능 문제를 구면 삼각법과 표면적 기반 타일 스케일링으로 해결한 사례를 공개했습니다. 적도에서는 문제없던 타일 시스템이 극지방에서 기하급수적으로 지오메트리가 증가하는 문제를 발견하고, 표면적 공식(A = R²(sinφ₁ − sinφ₂)(θ₁ − θ₂))을 적용해 90% 이상의 삼각형 수를 줄였습니다.

GitHub의 eBPF 사례와 Palantir의 타일 최적화 사례는 공통된 메시지를 전합니다: 소프트웨어 엔지니어링에서 수학·OS·네트워크 같은 기초 CS 지식이 실무 성능과 안정성 문제의 핵심 해결 도구라는 것입니다.