Awesome GitHub RepositoriesKernel Event Tracers

Le noyau Linux est un cœur de système d'exploitation monolithique qui gère les ressources matérielles, la mémoire et la planification des processus à travers diverses architectures informatiques. Il fournit un environnement standardisé et conforme à POSIX pour l'exécution des applications tout en maintenant un framework de pilotes modulaire qui permet le chargement et la suppression dynamiques des interfaces matérielles. Le projet se distingue par sa boîte à outils de concurrence haute performance, qui utilise des primitives de synchronisation sans verrou et des mécanismes de lecture-copie-mise à jour pour gérer l'accès aux données partagées dans les environnements multi-cœurs. Il intègre une suite complète de traçage et d'instrumentation du noyau qui permet une surveillance non intrusive des événements système, de l'exécution des fonctions et des métriques de latence. De plus, le noyau impose des garanties strictes de stabilité de l'interface et un suivi du cycle de vie pour assurer la rétrocompatibilité des applications dépendantes. Au-delà de son identité principale, le système inclut des capacités étendues pour l'abstraction matérielle, l'implémentation de protocoles réseau et l'application de politiques de sécurité. Il prend en charge des exigences d'ingénierie spécialisées grâce à la gestion de l'état d'alimentation, aux optimisations des systèmes embarqués et aux processus de démarrage basés sur le firmware. L'architecture dispose également de frameworks de diagnostic robustes pour l'analyse de la mémoire, la vérification de l'exécution du système et la validation des modèles de programmation concurrente. Le dépôt source fournit un système de construction complet pour transformer le code en images binaires exécutables, incluant des outils pour la sélection des fonctionnalités du noyau et l'optimisation de la configuration afin d'adapter la sortie aux exigences matérielles spécifiques.

BCC is an eBPF development toolkit and tracing framework used for monitoring and analyzing the Linux kernel. It functions as a performance analysis tool and debugging utility to capture system events, measure kernel latency, and provide network observability. The project distinguishes itself by providing a build system that integrates with LLVM to compile C-like code into BPF bytecode at runtime. It utilizes BPF Type Format data for relocations to maintain cross-kernel compatibility and extracts kernel headers to ensure the generated programs match the specific kernel version. The toolkit co

FlameGraph is a performance profiling and visualization toolkit designed to identify bottlenecks in software execution. It functions as a processing engine that transforms raw stack trace samples into interactive, hierarchical diagrams. By representing aggregated execution frequency as nested rectangles, the tool allows developers to visualize hot code paths and analyze system behavior across both kernel and user-space environments. The project distinguishes itself through its ability to perform differential profile analysis, which highlights performance regressions or improvements by compari

cAdvisor is a container resource monitoring agent and performance analyzer that collects and exports CPU, memory, network, and disk usage statistics from running containers. It functions as a telemetry tool for discovering containers across various runtimes and serves as a Prometheus-compatible metrics exporter. The agent distinguishes itself by analyzing Linux control groups to provide visibility into resource consumption and limits. It utilizes kernel perf events and NUMA statistics for low-level hardware performance tracking and diagnostics, and it can identify out-of-memory kill events th

This project is a specialized toolset for profiling kernel latency, analyzing tracepoint frequency, and monitoring system-wide performance data. It functions as a kernel performance profiler, tracepoint analyzer, and a collection of utilities for the Linux ftrace and perf_events subsystems. The toolkit provides high-level abstractions via shell-scripted wrappers to manage complex kernel tracing interfaces. It distinguishes itself through the use of bucket-based event histograms to visualize the distribution of kernel events and the ability to identify functions exceeding specific latency thre

bpftrace is a dynamic instrumentation tool and high-level tracing language for eBPF. It functions as a Linux kernel tracer and user-space profiler used to analyze live software behavior through the on-the-fly insertion of tracing and logging probes. The tool enables the collection of real-time data from the Linux kernel and applications to diagnose issues on live production systems. It intercepts user-level events using uprobes and USDT to debug and profile applications without modifying the original source code. The project covers system observability and performance analysis by monitoring

bpftrace is a high-level eBPF tracing tool and kernel instrumentation framework for Linux. It provides a tracing language to instrument kernel and user-space events without recompiling the system, functioning as a dynamic system profiler and event aggregator. The project enables dynamic system tracing and Linux kernel observability by capturing tracepoints and dynamic probes in real time. It allows for kernel data inspection and runtime process debugging by accessing internal data structures and filtering specific process events. Its capability surface covers system performance analysis, inc

Falco is an eBPF runtime security monitor and cloud native detection engine that identifies abnormal behavior and security threats across hosts and containers. It functions as a Linux kernel event auditor, capturing system calls and kernel events in real-time to detect malicious activity. The system distinguishes itself through a rule-based threat detection model that evaluates system activity against a library of community-maintained rules and custom security definitions. It enriches raw kernel events with container and Kubernetes metadata to provide observability into isolated environments

Sysdig is a Linux system observability tool and kernel event analyzer designed for capturing and analyzing kernel-level system calls and operating system events. It functions as a system call tracer and container security monitor, providing deep visibility into the activity of machines, virtual machines, and containers. The project specializes in non-invasive container inspection, allowing for the monitoring of container activity and resource usage without modifying the container environment or adding instrumentation. It enables the recording of detailed system traces into binary files for re

This project is an application performance monitoring tool and JVM metrics library designed to measure workload behavior and export performance data to external monitoring databases. It serves as an instrumentation toolkit for tracking resource usage and internal runtime behavior within a Java execution environment. The system focuses on application performance measurement and JVM application monitoring, specifically tracking system health and runtime resource analysis to identify bottlenecks and stability issues. It provides a mechanism for external metrics export, sending captured data to t

Pixie is an open-source observability platform for Kubernetes that uses eBPF to automatically capture telemetry data from clusters without requiring any manual instrumentation or code changes. It functions as an eBPF telemetry collector, a continuous application profiler, a network traffic analyzer, and a scriptable telemetry query engine, all within a single Kubernetes-native tool. The platform distinguishes itself through several integrated capabilities. It continuously samples stack traces from compiled-language code to identify CPU performance bottlenecks, visualizing the results as inter

Perfetto is a platform for system-level performance tracing and analysis on Linux and Android. It combines a high-throughput trace recorder, a SQL-based query engine, and a browser-based visualizer into a single toolchain. The platform covers CPU scheduling and call-stack profiling, native and Java heap memory allocation tracking, GPU and graphics events, and system-wide counters such as CPU frequency and power consumption. The architecture decouples trace recording from offline analysis, using a compact protobuf format for event encoding and columnar storage for efficient SQL queries. The we

Flashlight est une bibliothèque de machine learning et de tenseurs autonome en C++ utilisée pour construire et entraîner des réseaux de neurones. Elle fonctionne comme un framework complet de réseaux de neurones et un moteur de différenciation automatique, fournissant les outils pour construire des graphes de calcul et calculer les gradients via la rétropropagation. Le projet sert de framework d'entraînement distribué, utilisant des opérations all-reduce pour synchroniser les gradients et les paramètres sur plusieurs nœuds de calcul et appareils. Il se distingue par une intégration profonde de la manipulation de tenseurs haute performance, l'interopérabilité native de la mémoire des appareils et un système pour synchroniser les poids entre les workers distribués afin d'accélérer l'entraînement de modèles à grande échelle. Le framework couvre un large éventail de capacités de deep learning, incluant la composition modulaire de couches pour concevoir des architectures complexes comme des blocs résiduels et des cellules récurrentes. Il fournit des utilitaires étendus de gestion de données pour l'ingestion et le préchargement, ainsi que des systèmes de sérialisation pour persister les états de modèle. De plus, il inclut une suite d'outils de surveillance et d'observabilité pour suivre les métriques d'entraînement et mesurer les erreurs de séquence. La bibliothèque est implémentée en C++.

Micrometer est une bibliothèque de métriques dimensionnelles et une façade de métriques d'application qui fournit une interface neutre vis-à-vis du fournisseur pour enregistrer les données de performance. Elle découple l'instrumentation de l'application des backends d'observabilité spécifiques, permettant l'enregistrement de compteurs, de jauges et de minuteries en utilisant des tags clé-valeur pour une analyse granulaire. Le projet dispose d'un système d'adaptateurs de backend qui transforment et routent les données instrumentées vers divers outils de monitoring externes. Cela inclut la normalisation des noms pour assurer la portabilité à travers différents systèmes de monitoring et la capacité de mapper des données dimensionnelles vers des formats hiérarchiques pour les backends qui ne prennent pas en charge les tags. La bibliothèque inclut des capacités complètes pour la gestion de registre, les définitions de types de métriques et le contrôle de cardinalité pour protéger la mémoire de l'application contre les combinaisons de tags uniques excessives. Elle fournit également une instrumentation pré-configurée pour les internes du système JVM, incluant le garbage collection, l'utilisation du processeur et les pools de threads.

Tetragon est une suite d'outils de sécurité et d'observabilité runtime basée sur eBPF, conçue pour les environnements Linux et Kubernetes. Il fonctionne comme un gestionnaire de politiques de sécurité, un agent d'observabilité et un moteur d'application qui s'interface avec les fonctions du noyau et les tracepoints pour détecter l'élévation de privilèges, les évasions de conteneurs et les activités système non autorisées. Le projet se distingue par sa capacité à effectuer une application des règles en temps réel au niveau du noyau, permettant de terminer de manière synchrone des processus malveillants ou de modifier les valeurs de retour des fonctions avant qu'un appel système ne soit terminé. Il offre une intégration Kubernetes poussée en synchronisant les identités des conteneurs et en mappant les événements noyau de bas niveau directement aux pods et aux namespaces. Ses capacités plus larges couvrent l'audit complet des appels système, le suivi des connexions réseau et la surveillance de l'intégrité des fichiers. Le système prend en charge la gestion dynamique des politiques et fournit des outils de diagnostic pour surveiller les performances et l'utilisation des ressources BPF. Le déploiement est pris en charge sur les clusters Kubernetes via des charts Helm, ainsi que via des conteneurs autonomes et des paquets système natifs.

OSV est un système d'exploitation unikernel et un environnement d'exécution cloud-native conçu pour s'exécuter en tant que microVM sécurisée sur des hyperviseurs tels que KVM, Firecracker, Xen et VMware. Il fonctionne comme un runtime compatible avec les binaires Linux, permettant aux binaires Linux non modifiés d'être exécutés en tant que microVMs sécurisées sans nécessiter de recompilation. Le projet se distingue par sa capacité à empaqueter des applications dans des images amorçables minimales et sa fourniture d'une API de gestion de machine virtuelle. Cette interface REST permet la surveillance à distance de la santé du système, la gestion des traces d'exécution et le contrôle des états des machines virtuelles invitées. Le système couvre un large éventail de capacités de bas niveau, incluant la planification symétrique multi-processeurs, une pile réseau basée sur canal et l'intégration de périphériques virtuels. Il inclut des outils d'observabilité complets pour la détection de fuites mémoire, l'échantillonnage de l'utilisation CPU et le traçage de paquets réseau, ainsi qu'une prise en charge de divers systèmes de fichiers de démarrage et de la gestion du stockage par blocs persistant.

Aya is a Rust-native framework for writing, compiling, and loading eBPF programs into the Linux kernel. It provides a complete development environment that eliminates the need for a C toolchain or libbpf, allowing developers to work entirely within the Rust ecosystem. The framework manages the full lifecycle of eBPF programs, including async runtime integration, CO-RE BTF resolution for kernel version portability, ELF-based program loading, and safe kernel memory access. The framework distinguishes itself through its pure Rust compilation pipeline, which compiles Rust source code directly int

Ce projet est une ressource éducative fournissant un tutoriel de développement complet pour écrire et charger des programmes eBPF en utilisant C, Go et Rust au sein du noyau Linux. Il sert de guide technique pour développer une logique personnalisée à exécuter directement dans le noyau. Les matériaux couvrent des domaines spécialisés, notamment l'observabilité et le traçage du noyau, l'implémentation de la sécurité pour la détection d'intrusion et l'ingénierie réseau haute performance pour le filtrage de paquets et l'équilibrage de charge. Il inclut également des manuels dédiés pour le traçage du noyau Linux et l'utilisation de kprobes, uprobes et tracepoints. Le projet englobe un large éventail de domaines de capacités, tels que l'instrumentation du noyau, la surveillance et l'observabilité du système, l'analyse réseau et l'application de la sécurité. Il s'étend en outre au débogage au niveau matériel pour les GPU et les pilotes, ainsi qu'à la manipulation système de bas niveau et à la gestion des ressources.

open62541 is an open-source implementation of the OPC Unified Architecture standard, providing a complete stack for industrial automation and data exchange. It functions as both an OPC UA server and client, enabling the creation of an object-oriented address space to model physical industrial assets and their relationships. The project is designed for versatility across diverse hardware, offering a C99 library that can be deployed to both cloud servers and resource-constrained embedded environments. It distinguishes itself through a pluggable network layer and interface-based security backend

Inspektor Gadget is an eBPF observability toolset and program framework designed for tracing Linux systems and debugging Kubernetes nodes. It provides a suite of tools to collect kernel-level telemetry and export system metrics via the OpenTelemetry standard. The project distinguishes itself by packaging inspection tools as OCI-compliant container images, allowing for standardized distribution and deployment across clusters and hosts. It employs a modular data processing pipeline that utilizes WebAssembly modules to transform and filter telemetry, and leverages Compile Once Run Everywhere for