Le mappe BPF sono strutture dati condivise usate dai programmi eBPF per memorizzare e scambiare stato. Un programma eBPF viene eseguito nel kernel Linux con limiti rigorosi, quindi spesso ha bisogno di una mappa per ricordare i contatori, memorizzare in cache le ricerche, passare dati tra hook o ricevere configurazioni dallo spazio utente. I tipi di mappa più comuni includono mappe hash, array e ring buffer.
Nella sicurezza informatica, le mappe BPF sono importanti perché si trovano vicino al kernel e possono supportare sia la difesa sia l'abuso. Gli strumenti legittimi le usano per il tracing, il networking e l'osservabilità. Gli strumenti offensivi possono usare le mappe per mantenere stato nascosto, coordinare più componenti eBPF o spostare dati senza affidarsi a file e processi evidenti. I difensori monitorano la creazione insolita di mappe, gli aggiornamenti e le mappe pinnate, soprattutto quando sono associate ad attività sospette di caricamento eBPF.