Una mappa BPF è una struttura dati del kernel usata dai programmi eBPF per memorizzare e scambiare stato. Pensala come un archivio condiviso di coppie chiave-valore che può essere letto o aggiornato dallo spazio kernel e, in molti casi, dallo spazio utente. Le mappe consentono al codice eBPF di ricordare contatori, flag, ID di processo, liste di fiducia o la cronologia degli eventi senza codificare rigidamente questi dati nel programma stesso.
Le mappe BPF sono importanti per la sicurezza perché rientrano nel modello di fiducia della telemetria e dell'enforcement. I difensori le usano per coordinare i filtri, sopprimere eventi duplicati o mantenere allowlist per i processi approvati. Gli attaccanti possono tentare di alterare quello stato se ottengono privilegi sufficienti, perché modificare una mappa può cambiare ciò che il programma eBPF vede o segnala. In pratica, questo può significare nascondere attività, indebolire il rilevamento o aggirare la logica degli avvisi. Per questo motivo, i team di sicurezza trattano le mappe BPF come stato sensibile del kernel e monitorano attività eBPF inattese, aggiornamenti delle mappe e qualsiasi segnale che la telemetria venga filtrata alla fonte.