Implementando Segurança em Tempo de Execução com Tetragon

Visão Geral

Tetragon é um projeto da CNCF sob o Cilium que oferece observabilidade de segurança flexível e ciente de Kubernetes e aplicação de políticas em tempo de execução usando eBPF. Ao operar no nível do kernel Linux, o Tetragon pode monitorar e aplicar políticas na execução de processos, acesso a arquivos, conexões de rede e chamadas de sistema com menos de 1% de sobrecarga de desempenho – muito mais eficiente do que agentes de segurança tradicionais em espaço de usuário.

Quando Usar

• Ao implantar ou configurar a implementação de segurança em tempo de execução com capacidades do Tetragon em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou aprimorar a arquitetura de segurança para este domínio
• Ao conduzir avaliações de segurança que exigem esta implementação

Pré-requisitos

• Cluster Kubernetes v1.24+ com Helm 3.x instalado
• Kernel Linux 5.4+ (5.10+ recomendado para suporte completo a recursos eBPF)
• Acesso kubectl com privilégios de cluster-admin
• Familiaridade com conceitos de eBPF e primitivas de segurança do Kubernetes

Conceitos Principais

Segurança Baseada em eBPF

O Tetragon anexa programas eBPF diretamente a funções do kernel, permitindo:

• Rastreamento do ciclo de vida do processo: Monitore a criação, execução e término de cada processo em todos os pods
• Monitoramento de integridade de arquivos: Detecte leituras/escritas não autorizadas em arquivos sensíveis
• Observabilidade de rede: Rastreie todas as conexões TCP/UDP com contexto completo do pod
• Filtragem de chamadas de sistema: Aplique políticas em syscalls perigosas como ptrace, mount ou unshare

Recursos Personalizados de TracingPolicy

O Tetragon usa os CRDs TracingPolicy para definir quais eventos do kernel observar e quais ações tomar:

apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: detect-privilege-escalation
spec:
  kprobes:
    - call: "security_bprm_check"
      syscall: false
      args:
        - index: 0
          type: "linux_binprm"
      selectors:
        - matchBinaries:
            - operator: "In"
              values:
                - "/bin/su"
                - "/usr/bin/sudo"
                - "/usr/bin/passwd"
          matchNamespaces:
            - namespace: Pid
              operator: NotIn
              values:
                - "host_ns"
          matchActions:
            - action: Post

Ações de Aplicação

O Tetragon pode tomar três tipos de ações diretamente no kernel:

1. Sigkill: Termine imediatamente o processo infrator
2. Signal: Envie um sinal configurável para o processo
3. Override: Substitua o valor de retorno de uma função do kernel para negar uma operação

Instalação e Configuração

Etapa 1: Instalar o Tetragon com Helm

helm repo add cilium https://helm.cilium.io
helm repo update

helm install tetragon cilium/tetragon \
  --namespace kube-system \
  --set tetragon.enableProcessCred=true \
  --set tetragon.enableProcessNs=true \
  --set tetragon.grpc.address="localhost:54321"

Etapa 2: Instalar o CLI do Tetragon

GOOS=$(go env GOOS)
GOARCH=$(go env GOARCH)
curl -L --remote-name-all \
  https://github.com/cilium/tetragon/releases/latest/download/tetra-${GOOS}-${GOARCH}.tar.gz
tar -xzvf tetra-${GOOS}-${GOARCH}.tar.gz
sudo install tetra /usr/local/bin/

Etapa 3: Verificar a Instalação

kubectl get pods -n kube-system -l app.kubernetes.io/name=tetragon
tetra status

Implementação Prática

Detectando Tentativas de Escape de Contêiner

Crie uma TracingPolicy para detectar processos tentando escapar dos namespaces do contêiner:

apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: detect-container-escape
spec:
  kprobes:
    - call: "__x64_sys_setns"
      syscall: true
      args:
        - index: 0
          type: "int"
        - index: 1
          type: "int"
      selectors:
        - matchNamespaces:
            - namespace: Pid
              operator: NotIn
              values:
                - "host_ns"
          matchActions:
            - action: Sigkill

Monitorando Acesso a Arquivos Sensíveis

Detecte leituras de credenciais sensíveis:

apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: monitor-sensitive-files
spec:
  kprobes:
    - call: "security_file_open"
      syscall: false
      args:
        - index: 0
          type: "file"
      selectors:
        - matchArgs:
            - index: 0
              operator: "Prefix"
              values:
                - "/etc/shadow"
                - "/etc/kubernetes/pki"

…